Решение № 2334 от 13.02.2020 г. на ВАС по адм. д. № 5126/2019 г.

Решение № 2334 от 13.02.2020 г. на ВАС по адм. д. № 5126/2019 г., V о., докладчик председателят Галина Карагьозова Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Комисията за защита на личните данни (КЗЛД, Комисията), чрез процесуалния й представител юрисконсулт М. Райчева, против решение № 1683 от 13.03.2019 г., постановено по адм. дело № 147/2019 г. на Административен съд - София-град (АССГ), Второ отделение, 41 състав, с което е отменено по жалба на "Вива Кредит" ООД решение на Комисията № ППН-01-367 от 30.11.2018 г. В касационната жалба са развити доводи за неправилност на съдебното решение, поради необоснованост на изводите на съда и неправилно приложение на материалния закон - отменително основание по чл. 209, т. 2 - 3 от АПК. Иска се отмяната му и да бъде постановено друго по същество, с което се отхвърли жалбата против решението на КЗЛД. Претендира се присъждане на разноските по делото. Ответникът - "Вива Кредит" ООД, представлявано от управителя Д. Димитрова, чрез пълномощника адв. Т. Христова, оспорва касационната жалба и моли да бъде отхвърлена като неоснователна, а постановеното съдебно решение като правилно да бъде оставено в сила. Не претендира присъждане на разноски. Ответникът - Е. Стефанов не изразява становище по касационната жалба. Представителят на Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба и счита, че оспореното съдебно решение като постановено в нарушение на материалния закон следва да бъде отменено, като с ново решение по същество, касационната инстанция отхвърли жалбата против решението на КЗЛД. Върховният административен съд, в настоящия състав на пето отделение, след като прецени данните по делото и доводите на страните, приема за установено следното: Касационната жалба е подадена от надлежна страна, против подлежащ на оспорване съдебен акт, който е неблагоприятен за нея, както и в рамките на преклузивния срок по чл. 211 от АПК, поради което е процесуално допустима. Разгледана по същество е основателна. Предмет на контрол в производството пред АССГ е решение на КЗЛД - № ППН-01-367 от 30.11.2018 г. Съдът е обсъдил събраните по делото доказателства и е приел за установено от фактическа страна, че КЗЛД е сезирана с жалба, подадена от Е. Стефанов, съдържаща твърдения за злоупотреба с негови лични данни от страна на "Вива Кредит" ООД, изразяващо се в получаване на мейли на неговия електронен адрес, изпратени от дружеството, без същите да са поискани от жалбоподателя или той да е клиент на дружеството - електронни съобщения от 25.01.2018 г., 07.02.2018 г., 12.05.2018 г. и 25.02.2018 г., които съдържат негови лични данни, в това число и адрес на електронната му поща. Съдът е проследил провеждането на административното производство пред КЗЛД като е установил, че дружеството е уведомено за откриването на същото, както и му е указано да представи становище и доказателства. От получените от дружеството три становища става ясно, че жалбоподателят не е негов клиент, но дружеството разполага с личния му електронен адрес в резултат на грешка, допусната от негов служител при въвеждане на данните на друго лице - техен клиент - Е. Стефанов. Грешката е коригирана и адресът на електронната поща на жалбоподателя е заличен от базата данни на дружеството. Приложени са доказателства, както и запис на телефонен разговор с Е. Стефанов, по повод сключване на заем по телефон, от който се установява, че служител на "Вива Кредит" ООД чува и въвежда грешно имейл адреса на клиента в системата на дружеството, след което го повтаря, а Е. Стефанов потвърждава грешния имейл, който се оказва електронен адрес на жалбоподателя. В резултат на последния е изпратен имейла от 25.01.2018 г. С Е. Стефанов е сключен втори договор за паричен заем от 07.02.2018 г., в офис на дружеството, при което служители на същото са разпечатали въведените лични данни от първото кандидатстване на клиента, включително и сгрешения имейл адрес. Лицето е подписало договора, с което е удостоверило и актуалността на данните. Във връзка с този договор са изпратени следващите мейли на жалбоподателя, сезирал КЗЛД, видно от представените разпечатки от изпратените електронни съобщения. Жалбоподателят няколко пъти се е свързвал с дружеството, за да установи, че няма договор с тях, същият е питал от къде дружеството разполага с личните му данни, на което не му е отговорено, както и да предупреди, че не следва да получава съобщения, тъй като не е клиент да дружеството. Дружеството твърди, че е изтрило имейл адреса на Е. Стефанов от базата си данни, едва след сезирането на КЗЛД. КЗЛД е провела открито заседание за разглеждането на жалбата, за което страните са уведомени, видно от протокол № 40 от 17.10.2018 г., като дружеството е представило Инструкция за въвеждане, корекция и актуализиране на данни, въведени по досие на клиента. В заседанието е даден ход по същество и е взето решение жалбата на Е. Стефанов да се приеме за основателна и да се издаде разпореждане по чл. 58, § 2, б. "г" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (Общ регламент относно защита на данните, ОРЗД) с характер на задължително предписание да бъдат съобразени операциите по обработване на данни с разпоредбите на регламента, в резултат на което е издадено и оспореното решение, взето с мнозинство три гласа "за" и един "против". При така установеното от фактическа страна, съдът от правна е приел, че решението е издадено от компетентен орган, в предвидената от закона форма, но не съдържа всички необходими реквизити. В разпоредителната му част, за да има яснота какво точно се предписва, е необходимо да бъде посочено правното основание, както и нарушението, а в случая от диспозитива не може да бъде изведена волята на административния орган - кое е нарушението на закона, съответно задължението, което да подлежи на принудително изпълнение, поради което е налице основание за отмяна по чл. 146, т. 3 от АПК. Относно приложението на материалния закон, съдът е посочил, че правилно КЗЛД е приела приложимост на нормите на ОРЗД, тъй като нарушението е продължавано - осъществено в периода 25.01.2018 г. до 19.06.2018 г. и следва да се приложи законът, действал по времето, когато е приключило - ОРЗД, приложим от 25.05.2018 г., но неправилно е приела за нарушение обработката в резултат на грешка на данни за адреса на електронната поща, името и фамилията на жалбоподателя пред КЗЛД, чрез изпращане на електронни съобщения, в които се съдържат данните, като го е квалифицирала като нарушение на разпоредбата на чл. 5, § 1, б. "г" от ОРЗД. Съгласно цитираната разпоредба при обработването им личните данни трябва да са точни и при необходимост да бъдат поддържани в актуален вид и трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват (принципа на точност). Съдът е посочил, че установената обработка не представлява нарушение на чл. 5, § 1, б. "г" от ОРЗД, тъй като дружеството е получило личните данни от своя клиент, като въпреки неправилно възприетия от служителя на дружеството имейл адрес, лицето не го е коригирало, а ги е потвърдило. Същото не е поискало и поправката им при подписване на предложение за сключване на втори заем от 07.02.2018 г., т. е. въвело е съответния служител в заблуждение. Посоченото не представлява нарушение на принципа за точност, тъй като дружеството е действало добросъвестно като е обработило данни за имейл адрес, подадени му от клиента с удостоверена от него актуалност. Съдът се е позовал и на съображение 57 от преамбюла на регламента, според което ако обработваните от администратора лични данни не му позволяват да идентифицира дадено физическо лице, администраторът на данни не следва да е задължен да се сдобие с допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на регламент. Администраторът обаче не следва да отказва да приеме допълнителна информация, подадена от субекта на данни, за да подпомогне упражняването на неговите права. Съдът е посочил, че с оглед тези разпоредби, нарушението на принципа за точност представлява непредприемането на всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, за които дружеството е сезирано от засегнатото лице още на 12.05.2018 г. Дружеството твърди, че е разбрало за грешката на 19.06.2018 г., а за първи път твърди, че е изтрило имейл адреса на жалбоподателя от базата си данни в становище от 03.07.2018 г., т. е. около 50 дни по-късно и то след сезирането на КЗЛД. Съдът е извел извод, че нарушението на жалбоподателя от фактическа страна не се състои в това неправомерно поведение, което е констатирала комисията, а в посоченото от съда, което КЗЛД не е констатирала, т. е. налице е несъответствие между разпоредителната част, мотивите към решението и установената фактическа обстановка, което прави решението и немотивирано - порок по чл. 146, т. 2 от АПК. По отношение даденото с т. 2 от решението на КЗЛД предписание, съдът е приел, че същото е дадено във връзка с нарушение, което дружеството не е извършило и визираните в чл. 38, ал. 2 от ЗЗЛД, съответно в чл. 58 от ОРЗД възможности са алтернативни, а не кумулативни. Избраната мярка следва да бъде мотивирана, а в случая липсват конкретни факти и обстоятелства, които да я обосноват. КЗЛД не е взела предвид и това, че към момента на постановяване на решението й, дружеството е изтрило личните данни и е предприело мерки да не се допускат в бъдеще подобни нарушения, т. е. мярката е неефективна и не може да бъде изпълнена, още повече, че предписанието не дефинира кои точно операции по обработване на лични данни с кои точно разпоредби на ОРЗД трябва да се съобразят. По тези съображения, първоинстанционният съд е приел, че оспореното решение на КЗЛД е незаконосъобразно и го е отменил. Така постановеното решение е неправилно. Необоснован е изводът на съда, че КЗЛД неправилно е квалифицирала нарушението, извършено от "Вива кредит" ООД, като такова по чл. 2, ал. 2, т. 4 от Закона за защита на личните данни (ЗЗЛД), съответно чл. 5, § 1, б. "г" ОРЗД - нарушаване на принципа на точност при осъществяването от дружеството дейност по предоставяне на кредити. Съгласно чл. 2, ал. 2, т. 4 от ЗЗЛД (отм., ДВ, бр. 17/2019 г.), личните данни трябва да бъдат точни и при необходимост да се актуализират. Съгласно чл. 5 от ОРЗД, регламентиращ принципите, свързани с обработването на личните данни, същите следва да се обработват в съответствие със следните принципи, посочени в § 1 на нормата: законосъобразност, добросъвестност и прозрачност (б. "а"), ограничение на целите (б. "б"), свеждане на данните до минимум (б. "в"), точност (б. "г"), ограничение на съхранението (б. "д"), цялостност и поверителност (б. "е"), като в § 2 е въведен и принципа на отчетност, като администраторът носи отговорност и следва да е в състояние да докаже спазването на параграф 1. Принципа на точност по чл. 5, § 1, б. "г" гласи, че личните данни следва да са точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват. От редакцията на нормата е видно, че са визирани две задължения - за поддържане в точен и актуален вид на личните данни, както и задължение да се предприемат всички разумни мерки за своевременно изтриване или коригиране на неточни данни. В случая от доказателствата по делото безспорно е установено, че дружеството е събрало, записало, съхранило и употребило, по смисъла на § 1, т. 4 от ЗЗЛД, във вр. с чл. 4, т. 2 от ОРЗД на лични данни за адреса на електронната поща, име и фамилия на жалбоподателя пред КЗЛД - Е. Стефанов. Обработката на данните е в резултат на грешка, допусната от служител на дружеството, което не се оспорва от него. Следователно данните на действителния клиент не са точни, а тези на лицето, което не е клиент на дружеството са обработени без основание, т. е. налице е приетото от КЗЛД нарушение на чл. 5, § 1, б. "г" от ОРЗД на принципа на точност, в частта относно задължението на администратора на лични данни за поддържане на точни и актуални данни, като установените факти правилно са субсумирани под приложимата правна норма. Вярно е, че е налице и нарушение на второто задължение, посочено в нормата на чл. 5, § 1, б. "г" от ОРЗД - непредприемане на всички разумни мерки, за да се гарантира своевременно изтриване или коригиране на неточни лични данни, както е приел решаващия съд, но доколкото бездействието съставлява отново нарушение на принципа на точността не може да се възприеме приетото от съда, че комисията неправилно е квалифицирала нарушението от фактическа и правна страна. Решението е мотивирано и не страда от пороците по чл. 146, т. 2 и 3 от АПК, както неправилно е приел първоинстанционният съд. Не може да се възприеме и изводът на АССГ, че действителният клиент е въвел дружеството в заблуждение, съответно същото добросъвестно е обработила личните данни на жалбоподателя, сезирал КЗЛД. От представения снет текст на телефонния разговор между действителния клиент Е. Стефанов и служител на дружеството се установява, че кандидатът за кредит точно е посочил адреса на електронната си поща, но служителят го е възприел погрешно и е въвел погрешни данни в документите по предоставените на лицето кредити. С посоченото е осъществено нарушението, тъй като задължение на администратора на лични данни, чрез неговите служители, е да отразява точно данните, както и да вземе мерки същите да бъдат проверени, поради което последващото потвърждаване на неточните данни от Е. Стефанов е неотносимо, тъй като нарушението е осъществено и изключва добросъвестност при употребата на личните данни. В дружеството е действала Инструкция № 1 за защита на личните данни на физически лица, обработвани от дружеството, в качеството на администратор на лични данни, приета със заповед на управителя от 01.12.2017 г., но в същата липсват предвидени механизми за контрол на точността на събираните и обработвани лични данни. Независимо от спазването на разпоредените с нея задължителни действия на служителите нарушението е осъществено. В хода на административното производство пред КЗЛД, дружеството е издало и представило Инструкция за въвеждане, корекция и актуализиране на данни, въведени по досие на клиента от 18.10.2018 г., но посоченото не санира вече осъщественото нарушение. Посочената нова инструкция е приета от съда и за достатъчна да обоснове вземане на мерки за недопускане в бъдеще на нарушения от страна на дружеството, което го е мотивирало да приеме, че разпореденото от КЗЛД на администратора на лични данни да съобрази операциите по обработване на данни с разпоредбите на ОРЗД е изпразнено от съдържание. Този извод не може да бъде споделен. В представената инструкция, са регламентирани процедури за кандидатстване за кредит, като един от предвидените начини е за кандидатстване по телефона. Разписаният механизъм е същият, който е практикуван и до момента на издаване на инструкцията от дружеството, като отново липсват разумни мерки - технически, организационни или други, които да гарантират чрез проверка или по друг начин събиране на точни и актуални данни за клиентите. В този смисъл, упражнявайки правомощието си по чл. 58, § 2, б. "г" от ОРЗД, съгласно който КЗЛД може да разпорежда на администратора или обработващия лични данни да съобрази операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок, не е нарушила закона. Корективната мярка е съобразена с вида на нарушението. Вярно е посоченото от съда, че корективните мерки по чл. 58, § 2, б. от "а" до "з", имащи характер на принудителни административни мерки по определението на чл. 84 от ЗЗЛД са разписани в условията на алтернативност, в който смисъл е и нормата на чл. 38, ал. 3 от ЗЗЛД. В случая изборът на мярка е правилен, като обосноваността й се съдържа в мотивите на комисията относно извършването на конкретното нарушение, което е от категорията на разписаните в чл. 58, § 2, б. "г" от ОРЗД, т. е. не е налице нарушение на материалния закон. Приетото от съда, че предписанието е необосновано, тъй като не дефинира кои точно операции по обработване на лични данни с кои точно разпоредби на ОРЗД трябва да се съобразят, не намира опора в материалния закон. Съгласно чл. 58, § 2, б. "г" от ОРЗД, разпореденото на администратора или обработващия лични данни да съобрази операциите по обработване на данни с разпоредбите на настоящия регламент, следва да указва начин и срок за това, само ако е целесъобразно. В случая на дружеството не следва да бъда указвано как точно да постъпва - какви мерки да предприеме, тъй като посоченото зависи от възможностите на самото дружество и от конкретната организация на работата, като няма как да бъде указано какви да са конкретните разумни мерки. Видът им зависи изцяло от преценката на дружеството, но същите следва да осъществяват целта на закона - да осигуряват точност и актуалност на събираните лични данни и да гарантират своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват, т. е. да препятстват извършване на нарушение като констатираното. Впрочем по делото липсват доказателства, безспорно установяващи твърдяното от дружеството, че е изтрило личните данни на засегнатото лице от своите бази данни, което е още едно съображение, че мярката е обоснована и подходяща. Не са налице приетите от съда пороци на акта, като постановеното от КЗЛД решение, с което жалбата на Е. Стефанов е приета за основателна и за нарушение на чл. 5, § 1, б. "г" от ОРЗД, на основание чл. 58, § 2, б. "г" от Регламента е разпоредено на администратора да съобрази операциите по обработването на личните данни с разпоредбите му е законосъобразно. Приемайки обратното, първоинстанционният съд е постановил необосновано и в нарушение на материалния закон решение, което следва да бъде отменено. Тъй като делото е изяснено от фактическа страна, настоящият състав след отмяната на съдебното решение следва да се произнесе по същество като отхвърли жалбата на "Вива Кредит" ООД против решението на КЗЛД. С оглед изхода на спора е основателна претенцията за присъждане на разноски в полза на касатора, които възлизат на 270 лева общо за двете съдебни инстанции - 70 лева заплатени за дължимата държавна такса за касационното производство и по 100 лева за юрисконсултско възнаграждение за всяка инстанция, размер съобразен с фактическата и правна сложност на делото и определен на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ. По изложените съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, състав на пето отделение,