Решение № 463 от 16.1.2024 г. на ВАС по адм. д. № 3520/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по:

1.Касационна жалба на Комисия за защита на личните данни /КЗЛД/, чрез процесуален представител, срещу решение 71/30.01.2023г., постановено по адм.д. 1506/2022г. на Административен съд-Бургас/АС-Бургас/, в частта, в която отменя Решение ПАКИД-13-11/2022 от 08.08.2022г. на КЗЛД, в частта, с която на осн. чл.58, §2, б.и във вр. с чл.83, §5, б.а от Общ регламент за защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016г./ОРЗД, Регламента/ е наложено на администратора на лични данни Университетска многопрофилна болница за активно лечение /УМБАЛ/ Дева Мария ЕООД административно наказание имуществена санкция в размер на 10000 лева.

Касаторът КЗЛД навежда доводи за неправилност на съдебното решение в обжалваната част, като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменително основание съгласно чл.209, т.3 от АПК.

Моли решението да бъде отменено в обжалваната част. Подробни съображения излага в касационната жалба. Претендира разноски. Прави възражение по чл.78, ал.5 ГПК.

Ответната страна - УМБАЛ Дева Мария ЕООД, не изразява становище по касационната жалба. Не претендира разноски.

Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба на КЗЛД.

2. Касационна жалба на УМБАЛ Дева Мария ЕООД, чрез процесуален представител, срещу решение 71/30.01.2023г., постановено по адм.д. 1506/2022г. на Административен съд-Бургас/АС-Бургас/, в частта, в която отхвърля жалбата на УМБАЛ Дева Мария ЕООД против Решение ПАКИД-13-11/2022 от 08.08.2022г. на КЗЛД, в частта, с която на осн. чл.58, §2, б.д от ОРЗД е разпоредено на администратора на лични данни УМБАЛ Дева Мария ЕООД в рамките на 1 (един)месец от влизане в сила на решението да съобщи на засегнатите субекти на лични данни за нарушението на сигурността на данните, след което в 14-дневен срок да уведоми КЗЛД за изпълнението, като представи съответните доказателства.

Касаторът УМБАЛ Дева Мария ЕООД навежда доводи за неправилност на съдебното решение в обжалваната част, като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменително основание съгласно чл.209, т.3 от АПК.

Моли решението да бъде отменено в обжалваната част. Съображения излага в касационната жалба. Претендира разноски.

Ответната страна КЗЛД, чрез процесуален представител, оспорва касационната жалба. Моли за отмяна на съдебното решение в тази част. Претендира разноски.

Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба на УМБАЛ Дева Мария ЕООД.

Настоящият състав на Върховния административен съд, Пето отделение, приема, че касационната жалба на КЗЛД е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна.

За да постанови решение 71/30.01.2023г., в частта, обжалвана от КЗЛД, съдът е приел, че при налагане имуществената санкция в размер на 10000 лева не е спазен редът, както и видът на акта, с който следва да се произнесе АО.

Съдът е посочил, че разпоредбата на чл.50 от Правилник за дейността на комисията за защита на личните данни и на нейната администрация /ПДКЗЛДНА/ регламентира друг ред за налагане на санкции, а именно когато в хода на проверка по чл.12, ал.4 ЗЗЛД, с изключение на проверка по чл.37, ал.2, се констатират данни за административно нарушение, прилагането на мярката административно наказание глоба или имуществена санкция по чл.58, §2, б. и от Регламента и глава девета ЗЗЛД се осъществява по реда на ЗАНН, със съставяне на акт за нарушение и наказателно постановление.

Според съда в случая предвид регламентацията чл.87 ЗЗЛД, доколкото сезиращия акт не е жалба, а уведомление от администратора на лични данни, производството трябва да следва правилата на ЗАНН със съставяне на акт за нарушение и наказателно постановление от съответните органи, който ред в настоящия случай не е спазен.

В допълнение съдът е посочил, че предвид квалификацията от АО на нарушението по чл.5, §1, б.е, вр. чл.32, §1 и §2 ОРЗД и определяне от органа на една санкция на осн. чл.83, §5, б.а от ОРЗД, съобразно регламентацията на санкциите в чл.83, §5, б.а ОРЗД (за нарушение на чл.5, §1, б. е от Регламента) и в чл.83§4, б.а ОРЗД (за нарушение на чл.32, §1, и §2 от Регламента), в ЗАНН не се допуска кумулиране на нарушения и санкции , а е приложимо правилото на чл.18 ЗАНН, че за всяко отделно нарушение се налага отделно наказание.

На следващо място съдът е приел, че безспорно санкцията следва да се определи чрез съпоставяне оборотът на предприятието от предходната финансова година, като АО не е освободен от това задължение. В случая АО не е изследвал оборота за 2021г., която е предходната година, а е взел предвид оборотът от 2020г., който не е посочил в какви размери е. В този смисъл според съда като не е взет предвид оборота за съответната предходна година, не е извършена съответната съпоставка за правилно определяне на санкцията, решението на КЗЛД и на това основание е незаконосъобразно.

Решението на АС-Бургас в тази част е правилно като краен резултат.

Не е спорно по делото установеното от КЗЛД нарушение от УМБАЛ Дева Мария ЕООД, в качеството на администратор на лични данни на чл.5, §1, б. е вр. чл.32, §1 и §2 Регламент (ЕС) 2016/679.

С оглед фактите по делото неправилен е извода на съда за приложимост на правилата на ЗАНН в конкретното административно производство, образувано по реда на чл.38, ал.1 ЗЗЛД, вр. чл.33 §1 ОРЗД, вр. чл.12, ал.4 ЗЗЛД и чл.35, ал.2 ПДКЗЛДНА, по сигнал от 04.02.2022г. на администратора на лични данни УМБАЛ Дева Мария ЕООД, за нарушения на ОРЗД.

Съгласно разпоредбата на чл.38, ал.3 ЗЗЛД производството приключва с решение, като КЗЛД може да приложи мерките по чл.58, параграф 2, букви "а" - "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета.

Видно от цитираната разпоредба в правомощията на КЗЛД е да прецени дали да приложи пряко разпоредбите на Регламента (чл.249, §2 ДЕО), като в процесния казус надзорния орган предвид правомощието му по чл.58, §2, б. и ОРЗД е приложил разпоредбата на чл.83, §5, б.а ОРЗД, налагайки на администратора на лични данни УМБАЛ Дева Мария ЕООД имуществена санкция, в съответствие с разписаното в Регламента предвид фактите, установени в хода на административното производство.

Въпреки това вярно е заключението на съда на незаконосъобразно определяне размера на имуществената санкция от надзорния орган.

Според чл.83, §5, б. а ОРЗД, нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание глоба или имуществена санкция в размер до 20 000 000 EUR или, в случай на предприятие до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока: a) основните принципи за обработване на лични данни, включително условията, свързани с даването на съгласие, в съответствие с членове 5, 6, 7 и 9.

Разпоредбата е със санкционен характер, поради което императивното правило за включването на параметъра процент от годишен световен оборот за предходната финансова година на предприятието при определяне размера на санкцията, трябва да бъде съобразено и приложено недвусмислено от съответния надзорен орган. В случая въпреки дадените правомощия на АО с разпоредбата на чл.58, §1, б. а, б, д и е ОРЗД, КЗЛД не си е направила труда да събере доказателства за оборота на предприятиетоадминистратор на лични данни за предходната 2021г., при което в противоречие с цитираните приложими материалноправни разпоредби е определила произволно размера на наложената имуществена санкция, както правилно е приел първостепенния съд.

Решението на АС-Бургас в тази му част като постановено при липса на сочените от касатора КЗЛД основания за отмяна трябва да бъде оставено в сила.

По отношение касационната жалба на УМБАЛ Дева Мария ЕООД, настоящият състав на Върховния административен съд, Пето отделение, приема, че същата е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима.

Разгледана по същество, касационната жалба е неоснователна.

Фактът на извършеното нарушение на сигурността на личните данни, при създадена възможност чрез отдалечен нерегламентиран достъп до компютър на администратора на лични данни, да се придобие и съответно да извършат произволни операции от страна на трето лице с наличната информация в споделена папка, съдържаща лични данни по см. на чл.4, §1, т.15 ОРЗД на 246 физически лица пациенти на болницата (пораждащо висок риск за правата и свободите на физическите лица), обосновава задължението на администратора на лични данни по чл.34, §1 ОРЗД- без ненужно забавяне, да съобщи на субекта на данните за нарушението на сигурността на личните данни.

Неизпълнението на посоченото задължение е достатъчно основание за прилагане от надзорния орган спрямо администратора на лични данни на корективното правомощие по чл.58, §2, б.д ОРЗД - да разпореди на администратора да съобщи на субекта на данните за нарушение на сигурността на личните данни, което правомощие в случая е законосъобразно упражнено от АО.

Не се кредитират доводите в касационната жалба на УМБАЛ Дева Мария ЕООД. Упражняването от надзорния орган на цитираното корективно правомощие не е обвързано със срока на продължаване на нарушението , с предприети в последствие подходящи технически мерки и друг вид мерки за защита на личните данни. Без значене е също така дали са събрани доказателства относно реалното използване от трето лице на процесните лични данни, нерегламентиран достъп до които е осъществен. Достатъчен е фактът на нарушена сигурност на личите данни ( с изключително чувствителен характер по отношение на субекта на данни) който създава вероятност за осъществяването на което и да е от събитията, посочени в чл.4, §12 ОРЗД.

Обжалваното решение е постановено при спазване на съдопроизводствените правила. АС-Бургас е изпълнил задължението си по чл.168 АПК като е извършил съдебен контрол на оспорения административен акт по критериите, посочени в чл.146 АПК и е установил релевантните за спора фактически обстоятелства. Съдът е преценил всички събрани по делото доказателства поотделно и в тяхната съвкупност, разпределил е тежестта на доказване в процеса съобразно доводите и възраженията на страните, на които е дадена възможност да ангажират доказателства. Решението на първата инстанция е обосновано. Изводите на съдебния състав кореспондират със събраните по делото доказателства и са формирани след тяхната правилна преценка.

С оглед изложеното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение в тази част не са налице сочените от касатора УМБАЛ Дева Мария ЕООД нарушения по чл.209, т.3 от АПК, поради което същото следва да бъде оставено в сила.

Предвид изхода на спора разноски в настоящото производство не се присъждат.

По изложените съображения и на основание чл.221, ал.2 АПК, Върховният административен съд, Пето отделение