Решение № 6293 от 11.6.2025 г. на ВАС по адм. д. № 2070/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Пенсионноосигурително дружество "Топлина" АД, чрез адв. К. Димитров, срещу решение 26579 от 10.12.2024г., постановено по адм. дело 4207/2024г. на Административен съд София - град (АССГ), с което е отхвърлена жалбата на дружеството срещу Решение ПАИКД - 13- 7/23 от 28.02.2024г. на Комисията за защита на личните данни (КЗЛД), в частта, с която на основание чл.58, пар. 2, б."и" от Регламент (ЕС) 2016/679 му е наложено административно наказание - имуществена санкция в размер на 20 000лв., съгласно чл.83, пар.4, б "а" за нарушение на чл.24, ал.1, чл.25, ал.1, чл.32, пар.1, б."б" и б."г" от Регламент (ЕС) 2016/679 и чл.83, пар.5, б. "а" за нарушение на чл.5, пар.1, б."е" от Регламент (ЕС) 2016/679. Касаторът навежда доводи за неправилност на решението на АССГ, като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл.209, т.2 и т.3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба. Претендира разноски за двете съдебни инстанции. Ответната страна - Комисия за защита на личните данни в представено писмено становище по делото, чрез юрк. Монова и в съдебно заседание, оспорва касационната жалба. Моли оспореното решение като правилно да бъде оставено в сила.Претендира разноски за юрисконсултско възнаграждение. Алтернативно прави възражение за прекомерност на претендираното адвокатско възнаграждение от насрещната страна. Представителят на Върховна касационна прокуратура дава мотивирано, писмено заключение за основателност на касационната жалба. Настоящият състав на Върховния административен съд, Пето отделение, приема, че касационната жалба е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна. Предмет на оспорване в производството пред АССГ е Решение ПАИКД - 13- 7/23 от 28.02.2024г. на Комисията за защита на личните данни (КЗЛД), в частта по т.2, с която на основание чл.58, пар. 2, б. "и" от Регламент (ЕС) 2016/679 на Пенсионноосигурително дружество "Топлина" АД в качеството му на администратор на лични данни е наложено административно наказание - имуществена санкция в размер на 20 000лв., съгласно чл.83, пар. 4, б "а" за нарушение на чл.24, ал.1, чл.25, ал.1, чл.32, пар. 1, б."б" и б."г" от Регламент (ЕС) 2016/679 и чл.83, пар.5, б. "а" за нарушение на чл. 5, пар. 1, б."е" от Регламент (ЕС) 2016/679. За да постанови обжалваното решение съдът е приел, че оспорения АА е издаден от компетентен орган, в рамките на законоустановените му правомощия, в изискуемата писмена форма, без да са допуснати съществени нарушения на административнопроизводствените правила, в съответствие с приложимите материалноправни разпоредби и целта на закона. Съдът е отхвърлил доводите на оспорващия, че в случая са приложими разпоредбите на ЗАНН като се е аргументирал с разлика в правомощията на председателя и членове на КЗЛД по чл.12 от ЗЗЛД за осъществяване на контрол по спазване на Регламент (ЕС) 2016/679 и на ЗЗЛД. Посочил е, че органите които осъществяват контрол за спазване на Регламента са : 1.КЗЛД по чл. 10, ал.1, т.7 по реда на чл.38 и чл.39 от ЗЗЛД и на председателя и членове на КЗЛД или упълномощени лица от администрацията на осн.чл.12 от ЗЗЛД, а редът за осъществяване на този контрол е различен. Според АССГ, административните наказания, съгласно чл.82 от Регламент (ЕС) 2016/679 могат да бъдат налагани, както в производство по реда на ЗАНН( в случаите по чл.12 ЗЗЛД), така и по реда на АПК, в случаите, когато КЗЛД действа като колективен административен орган, чиито актове - решения се обжалват по реда на АПК. Според административния съд, като е обективирала в решение правомощието си за налагане на наказание на осн. чл.58, пар.2, б."и" от Регламент (ЕС) 2016/679, съгласно чл.83, пар.4, б. "а" за нарушение на чл.24, ал.1, чл.25, ал.1, чл.32, пар.1, б."б" и б."г" от Регламент (ЕС) 2016/679 и чл. 83, пар.5, б. "а" за нарушение на чл.5, пар.1, б. "е" от Регламент (ЕС) 2016/679 , КЗЛД е упражнила законосъобразно нормативно установените си функции, свързани с контрола по спазването на Регламента. АССГ е изложил съображения, че Комисията разполага с оперативна самостоятелност да прецени кое от корективните правомощия по чл.58, пар.2 от Регламент (ЕС) да упражни, правомощията по чл.58, пар.2 без това по б. "и" имат характер на принудителни административни мерки, а администратистративното наказание "глоба" или "имуществена санкция", предвидено в б. "и" на чл.58, пар .2 има санкционен характер и се прилага в допълнение към мерките по б. "а", б."з" и "й" или вместо тях и изцяло в преценката на надзорния орган е дали да приложи принудителна административна мярка по б. "а", б."з" и "й" или да наложи административно наказание "глоба" или "имуществена санкция" или да приложи и някоя от мерките съвместно с административното наказание по б."и". В процесния случай КЗЛД в условията на предоставената й оперативна самостоятелност е приела да приложи корективната мярка по чл.58, пар.2, б. "и" от Регламент (ЕС) 2016/679 - "имуществена санкция", заедно с такава по чл.58, пар.2, б."г". Решението е правилно като краен резултат. Не е спорно по делото установеното от КЗЛД нарушение от Пенсионноосигулително дружество "Топлина" АД в качеството му на администратор на лични данни на чл.5, параграф 1, б"е" във вр. с чл.32, пар.1, б."б" от Регламент (ЕС) 2016/679, за което в т.1 на оспореното решение му е разпоредено с цел създаване на сигурни пароли на клиентите, заявили достъп до функционалността, която дава възможност да се провери състоянието на индивидуалната осигурителна партида, след първоначалното влизане с определената служебна парола - ЕГН, по - нататъшния достъп до системата да изисква от страна на клиена задължителна смяна на паролите. Решението в тази част като необжалвано е влязло в законна сила. С оглед фактите по делото правилен е извода на съда за неприложимост на правилата на ЗАНН в конкретното административно производство, образувано по реда на чл.38, ал.1 ЗЗЛД във вр. чл.33, пар.1 ОРЗД, вр. с чл.12, ал.4 ЗЗЛД и чл.35, ал.2 ПДКЗЛДНА по подадено уведомление по чл.33 от Регламент (ЕС) 2016/679 за нарушение на сигурността на данните с вх ПАИКД -13 -7/17-02.2023г. от администратора на лични данни ПОД "Топлина" АД. След ката административното производство е започнало, след подадено уведомление по чл.33 от Регламента от администратора на лични данни, а не служебно( самосезиране на Комисията), правилно съдът е приел за приложим редът по чл.38, ал. 3 от ЗЗЛД. Съгласно разпоредбата на чл.38, ал.3 от ЗЗЛД Комисията се произнася с решение, като КЗЛД може да приложи мерките по чл. 58, параграф 2, букви "а" "з" и "й" от Регламент /ЕС/ 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент /ЕС/ 2016/679, както и по глава девета. Видно от цитираната разпоредба в правомощията на КЗЛД е да прецени дали да приложи пряко разпоредбите на Регламента (чл.249, пар.2 ДФЕС), като в конкретния случай, надзорния орган, предвид правомощието му по чл.58, пар.2, б."и" ОРЗД е приложил разпоредбата на чл.83, пар. 4, б. "а" от ОРЗД за нарушение на чл.24, ал.1, чл.25, ал.1 и чл.32, пар.1, б."б" и б."г" от Регламента и чл.83, пар.5 ,б. "а" за нарушение на чл.5, пар.1, б."е" от Регламент (ЕС) 2016/679, налагайки на администратора на лични данни ПОД "Топлина" АД имуществена санкция в размер на 20 000лв., в съответствие с разписаното в Регламента и предвид фактите, установени в хода на административното производство. Съгласно чл.83, §1 от Регламент /ЕС/ 2016/679, всеки надзорен орган гарантира, че наложените административни наказания глоба" или имуществена санкция" в съответствие с настоящия член за извършени нарушения на настоящия регламент, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи. Съгласно чл.83, пар.4, б."а" от Регламента нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание глоба" или имуществена санкция" в размер до 10 000 000 EUR или, в случай на предприятие до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока - нарушението е на задължение на администратора или обработващия лични данни, съгласно членове 8,11, 25-39 и 42 и 43. В случая имущуствената санкция е наложена за нарушение на чл.24, ал.1, чл.25, ал.1 и чл.32, пар.1, б. "б" и б. "г" от Регламента. Съгласно чл.83, пар.5, б."а" от ОРЗД нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание глоба" или имуществена санкция" в размер до 20 000 000 EUR или, в случай на предприятие до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока - нарушение на основните принципи за обработване на лични данни, включително условията, свързани с даването на съгласие, в съответствие с чл.5,6, 7 и 9. В случая санкцията е наложена за нарушение на чл.5, пар.1, б. "е" от Регламента. Комисията за защита на личните данни е постоянно действащ, независим, надзорен, колегиален орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на този закон. Комисията съдейства за провеждането на държавната политика в областта на защита на личните данни и е юридическо лице на бюджетна издръжка, а нейният председател е първостепенен разпоредител с бюджет. Правомощията на Комисията за защита на личните данни са регламентирани с препращането от чл. 10а, ал. 1 от ЗЗЛД към Регламент (ЕС) 2016/679, като най-общо се констатира, че надзорният орган съвместява различни прояви на административна дейност с налагане на административно наказание глоба или имуществена санкция (чл. 58, § 2, б. и от Регламент (ЕС) 2016/679). Съгласно чл. 47 от Закона за административните нарушения и наказания (ЗАНН) административни наказания могат да налагат ръководителите на ведомствата и организациите, областните управители и кметовете на общините, на които е възложено да прилагат съответните нормативни актове или да контролират тяхното изпълнение; длъжностните лица и органите, овластени от съответния закон или указ; съдебните и прокурорските органи в предвидените от закон или указ случаи като ръководителите на ведомствата и организациите, областните управители и кметовете на общините могат да възлагат правата си на наказващи органи на определени от тях длъжностни лица, когато това е предвидено в съответния закон, указ или постановление на Министерския съвет. КЗЛД при упражняване на правомощието си по чл. 38, ал. 3 от ЗЗЛД, включително и когато налага глоби и имуществени санкции, действа като колегиален, независим, надзорен орган, което автоматично я изключва от кръга на лицата по чл. 47 от ЗАНН, възприемани като еднолични органи (в повечето случаи на изпълнителната) власт. Процедурата, по която се упражняват правомощията на Комисията също се различава от тази по ЗАНН, а именно с пряко участие на всички заинтересовани страни, включително и пострадалия. Без съставяне на отделен акт за установяване на административно нарушение, предвиден в ЗАНН, а с един общ акт се установява нарушението при обработване на лични данни, разпореждат се мерки и/или се налага санкция. Председателят на Комисията за защита на личните данни действа като административнонаказващ орган по реда на ЗАНН (чл. 87 от ЗЗЛД) в определените за това случай, включително и по повод неизпълнение на решение на Комисията, което съдържа разпореждане за предприемане на определени действия от администратор на лични данни. С оглед изложеното и предвид разпоредба на чл.10а, ал.1 от ЗЗЛД, която овластява Комисията за защита на личните данни, в качеството и на колегиален, надзорен орган да упражнява изцяло правомощията по чл.58 от Регламент (ЕС) 2016/679, предоставени й изрично и по силата на самата разпоредба от Регламента, включително и корективните правомощия по чл.58, пар.2, б."и" от ОРЗД да налага административно наказание "глоба" или "имуществена санкция", съгласно чл.83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай, доводите в касационната, че административното производство следва да се извърши по реда на чл.87 от ЗЗЛД и да приключи с издаване на наказателно постановление са неоснователни, а изводите на решаващия съд правилни. Редът по чл.87 от ЗЗЛД за установяване на нарушения по Регламент/ЕС/ 2016/679 и по този закон е приложим в хипотезите, при които административният орган се е самосезирал. Именно при тези хипотези компетентният орган да наложи наказание с наказателно постановление по реда на ЗАНН е Председателят на КЗЛД, а не Комисията. Правилно АС е приел, че обжалваният административен акт е издаден от компетентен орган. Неоснователно е оплакването в касационната жалба, че съдът не е обсъдил оплакването на касатора за несъответствие на оспорения акт с целта на закона. Макар и лаконични, мотивите на съда споделят напълно доводите на КЗЛД, изложени в оспореното решение за характера на засегнатите обществени отношения и високата обществена опасност на тези деяния и липсата на установени факти по делото, които да сочат на по - ниска степен на обществена опасност от типичната. С оглед безспорно установеното обстоятелство по делото, че ПОД "Топлина" АД е допуснал възможността да се осъществи неразрешен достъп до лични данни, обработвани на стария сайт на дружеството, като не е предприел необходимите технически и организационни мерки и трети лица са имали достъп до данни за 121 421 физически лица над 18г. - субекти на данни, осигурени във фондове за ДПО, от които 2 987 починали лица, наложената имуществена санкция безспорно би имала предупредително и възпиращо действие и мотивиране на администратора на лични данни да спазва стриктно ЗЗЛД и Регламент (ЕС) 2016/679 като предприеми необходимите мерки за защита на личните данни на лицата. Споделят се изцяло изводите на АССГ, че размерът на санкцията е съразмерен с тежестта на нарушението и е определен законосъобразно от КЗЛД при коректен анализ на относимите елементи по чл.83, пар.2, б."а" до б."к" от ОРЗД, включително утежняващите и смекчаващи отговорността обстоятелства. Противно на изложеното от касатора не се установяват допуснати от административния съд съществени процесуални нарушения. В съответствие с разпоредбата на чл.168, ал.1 от АПК съдът е извършил проверка на законосъобразността на оспорения акт на всички основания по чл.146. Решението на съда е постановено след събиране на допустимите и относимите към предмета на съдебното производство доказателства и след тяхното обсъждане, включително и доводите на страните. Решението на АССГ е обосновано. Крайният извод на съдебния състав кореспондира със събраните по делото доказателства и е формиран след тяхната правилна преценка. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са налице сочените от касатора нарушения по чл.209, т.3 от АПК, поради което същото следва да бъде оставено в сила. Предвид изхода на спора и своевременно направено искане в полза на ответната страна се дължат разноски за юрисконсултско възнаграждение на основание чл.78, ал.8 ГПК във вр. с чл.144 АПК и чл.37 от Закона за правната помощ в размер на 150 лв. дължими от касатора. По изложените съображения и на основание чл.221, ал.2 АПК, Върховният административен съд, Пето отделение