Решение № 8210 от 28.7.2025 г. на ВАС по адм. д. № 10014/2024 г.

Производството е по реда на чл. 208 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "Топлофикация София" ЕАД, чрез пълномощника юрк. Мандева, против решение 11574 от 11.07.2024 г. по адм. дело 3172/2024 г. по описа на Административен съд - София-град (АССГ), с което е отхвърлена жалбата на дружеството срещу решение ППН-01-85/2022 от 29.02.2024 г. на Комисията за защита на личните данни (КЗЛД; Комисията). В касационната жалба са развити доводи за неправилност на оспореното първоинстанционно съдебно решение поради нарушение на материалния закон и необоснованост касационни основания по чл. 209, т. 3 от АПК. Твърди се, че наложеното на дружеството административно наказание за нарушение на чл. 6, § 1, б. а до е и чл. 5, § 1, б. г и § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. (Регламент /ЕС/ 2016/679; Регламента), не е подкрепено с обстоятелства, които пряко да доказват извършването му. Касационният жалбоподател излага съображения, че след установяване на допусната техническа неточност от страна на дружеството, същото е предприело незабавни мерки по отстраняване на грешката спрямо Ц. С. Д., като изтрива/заличава сгрешеното ЕГН от всички информационни системи, използвани от служителите в дружеството. В допълнение е посочено, че заличаването на личните данни в информационния масив на Топлофикация София ЕАД след първоначалното установяване на грешка, не изключва възможността същите да са попаднали у служителите втори път, при същите обстоятелства, поради сходството в двете имена /Ц. С. Д. и Ц. С. Н./ и липсата на индивидуализация на ЕГН в Договор за продажба на държавен недвижим имот от 24.11.1989 г., което обаче не обосновава нарушаване на разпоредбата на чл. 5, § 1, б. г от Регламента. Твърди се, че в решението на първоинстанционния съд не е обсъдено съответствието на процедурата по налагане на административното наказание с разпоредбите на чл. 83 от Регламента. Комисията не е изпълнила задължението си по чл. 83, § 2, букви в и к от Регламента, тъй като не е разгледала действията на администратора за смекчаване последиците от настъпилите вреди. Допуснатите от касатора неточности са отстранени и от същите не са произтекли никакви неблагоприятни последици за г-жа Д.. Иска се отмяна на решението като неправилно, в условие на евентуалност моли размерът на имуществената санкция да бъде намален. Претендира присъждане на направените по делото разноски. Ответникът - Комисията за защита на личните данни, в съдебно заседание, чрез пълномощника юрк. Гладникова, изразява становище за неоснователност на касационната жалба. Претендира присъждане на юрисконсултско възнаграждение. Ответникът Ц. С. Д. не изразява становище по касационната жалба. Представителят на Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от лице, за което първоинстанционното съдебно решение е неблагоприятно, намира същата за допустима. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Предмет на контрол за законосъобразност пред АССГ е решение ППН-01-85/22 от 29.02.2024 г. на КЗЛД, с което на основание чл. 38, ал. 3 от Закона за защита на личните данни (ЗЗЛД), жалба с рег. ППН-01-85/31.01.2022 г., подадена от Ц. С. Д. е обявена за основателна по отношение на Топлофикация София ЕАД, за извършване на неправомерно обработване на личните й данни чрез събиране, съхранение, употреба и разпространение, без да е било налице някое от условията за допустимост на обработването им, посочени в чл. 6, § 1, б. а до б. е от Общия регламент относно защитата на данните, както и в нарушение на принципите за точност и отчетност, предвидени в разпоредбите на чл. 5, § 1, б. г и в чл. 5, § 2 от Общия регламент относно защитата на данните. На основание чл. 58, § 2, б. и, във връзка с чл. 83, § 5, б. а от Регламента на дружеството е наложена имуществена санкция в размер на 20 000 лв. На основание чл. 58, § 2, б. ж от Регламента е издадено разпореждане Топлофикация София ЕАД да изтрие/заличи от информационните масиви на дружеството личните данни на Ц. С. Д. като клиент на топлоснабдително дружество и потребител на топлинна енергия. От фактическа страна първоинстанционният съд е установил, че производството по издаване на оспорения административен акт е образувано по жалба на Ц. С. Д. за неправомерно обработване на личните й данни от страна на Топлофикация София ЕАД. Констатирано е, че докато Ц. Д. живее в чужбина през периода от 2001 г. до 2015 г., срещу нея са образувани гр. дело 17887/2012 г. по описа на СРС, съответно изп. дело 4390/2012 г. по описа на ЧСИ С. Я.. След налагане на запор на банковите сметки на Ц. Д. и изтеглени суми, през есента на 2021 г., същата е научила за образуваните срещу нея съдебни и изпълнителни производства. Междувременно през 2015 г. по заявление на Топлофикация София ЕАД е образувано заповедно производство по реда на чл. 410 от ГПК, вследствие на което е образувано второ изпълнително дело срещу Д. при същия ЧСИ С. Я.. След сезиране на компетентните институции е установено, че насочването на иска за консумирана топлинна енергия срещу Ц. Д. е грешка на служителите на Топлофикация София ЕАД, която грешка е следвало да се поправи от дружеството. Ц. Д. не е ползвала услугите на Топлофикация София ЕАД, не е била клиент на дружеството, нито им е предоставяла личните си данни. Лицето няма нито адресна регистрация, нито е придобивало имот в гр. София. През 2021 г. е заведено трето по ред гражданско дело срещу Д. от Топлофикация София ЕАД, поради което същата счита, че е налице незаконосъобразно обработване на личните й данни от страна на дружеството, въпреки направеното впоследствие изменение на исковата молба с посочване на коректния длъжник. След провеждане на административното производство, КЗЛД е приела, че жалбата на Д. е основателна и с оспорения административен акт е наложила имуществена санкция на Топлофикация София ЕАД в размер на 20 000 лева и е разпоредила на дружеството да изтрие/заличи от информационните масиви личните данни на Ц. С. Д. като клиент на топлоснабдителното дружество и потребител на топлинна енергия, както и в 14-дневен срок от влизане в сила на решението, да представи доказателства за изпълнението на издаденото му разпореждане за заличаване на данните. От правна страна първоинстанционният съд е приел, че оспореният пред него административен акт е издаден от компетентен орган в пределите на предоставените му правомощия, в предписаната от закона форма, при спазени изисквания за реквизити и съдържание на акта, без допуснати съществени нарушения на административнопроизводствените правила, при правилно приложение на материалния закон и в съответствие с неговата цел. Решението е правилно. Съдът е обсъдил всички събрани по делото доказателства, правилно ги е анализирал и не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са логични, последователни и изградени върху правилен анализ на събраните доказателства и приложимата нормативна уредба. Обжалваното решение е обосновано, противно на изложените в касационната жалба доводи. Решението съответства и на материалния закон. В настоящия случай отговорността на администратора на лични данни Топлофикация София ЕАД е ангажирана за нарушение на принципите на точност и отчетност, предвидени в разпоредбите на чл. 5, § 1, б. г и чл. 5, § 2 от Регламент (EC) 2016/679. Обоснован и в съответствие с доказателствата по делото е изводът на съда, че не е налице нито едно от визираните в разпоредбата на чл. 6, § 1 от Регламента основания за законосъобразно обработване на личните данни на Ц. С. Д.. Установено е, че Д. не е била клиент на дружеството, както и че същата не живее и не е била собственик на недвижим имот в гр. София. Не е спорно, че личните данни (ЕГН) на Ц. Д. се намират в информационния масив на Топлофикация София ЕАД и същите са използвани за събиране на задължения към дружеството, като срещу нея са образувани 3 граждански и 2 изпълнителни дела. Неоснователна е защитната теза на касационния жалбоподател, че обработването на ЕГН-то на Ц. Д. се дължи на допусната техническа грешка. Безспорно установено е, че насочване на иска за консумирана топлинна енергия срещу Ц. С. Д., с [ЕГН] е грешка на служител на дружеството по отношение идентифициране собственика на имот в гр. София, [жк], [адрес]. Съгласно представен договор за продажба на държавен недвижим имот от 1989 г., като купувач е вписано лицето Ц. С. Н., без посочено ЕГН. Налице е сходство на имената, но не са налице доказателства как Топлофикация София ЕАД се е сдобила с ЕГН-то на лице, което не е клиент на дружеството. Принципът за точност на данните по чл. 5, § 1, б. г от Регламента изисква от всеки администратор на лични данни да обработва актуална и точна информация за физически лица, което налага извод, че същият следва да полага усилия да предприеме разумни мерки за своевременното изтриване или коригиране на неверни или неточни данни. В случая това не е доказано. Топлофикация София ЕАД не е предприело необходимите действия, така че да индивидуализира по безспорен начин физическото лице, ползвател на топлинна енергия по отношение на топлоснабден имот с адрес в гр. София, [жк], [адрес]. Въпреки твърденията на касатора, че след установената грешка спрямо неправомерната обработка на личните данни на Д., същият е взел необходимите мерки за отстраняване на същите, е образувано трето по ред гражданско дело срещу лице, индивидуализирано с ЕГН-то на Ц. Д.. Направената последваща корекция в исковата молба с посочване на правилния длъжник на Топлофикация София ЕАД не отменя факта на извършеното от него нарушение по смисъла на чл. 5, § 1, б. г и чл. 5, § 2 от Регламент (EC) 2016/679. Първоинстанционния съд правилно е анализирал наложените от КЗЛД корективни мерки по чл. 58, § 2, буква и, във връзка с чл. 83, § 5, б а и по чл. 58 § 2, буква ж от ОРЗД като е приел, че те са най-подходящи и целесъобразни. С оглед така установеното нарушение в съответствие с приложимата нормативна уредба, на която се е позовала КЗЛД, на администратора на лични данни е наложена имуществени санкция в размер на 20 000 лв. Санкцията е съобразена с тежестта на нарушението от страна на Топлофикация София ЕАД и същата не се явява прекомерна. Дружеството трябва да съобрази мерките, които да осъществят целта на закона по събиране, обработване и изтриване на личните данни, като по отношение на Ц. С. Д. следва да изтрие/заличи от информационните масиви на дружеството личните й данни, за да се препятства извършване на повторно нарушение, от вида на разглежданото. Пред изложеното и с оглед липсата на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. При този изход на спора, в полза на Комисията за защита на личните данни следва да се присъдят разноски в размер на 160 лв. за юрисконсултско възнаграждение на основание чл. 143, ал. 3 АПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ. Водим от горното и на основание чл. 221, ал. 2, предложение първо от АПК, Върховният административен съд, пето отделение