Решение № 8157 от 25.7.2025 г. на ВАС по адм. д. № 3349/2025 г.

Производството е по реда на чл.208 и сл. от Административно-процесуалния кодекс (АПК). Образувано е по касационна жалба на В. Д. П. в качеството ѝ на кмет на кметство с. Белозем, община Раковски, област Пловдив, чрез адв. Маринов, срещу решение 10739/06.12.2024 г. по адм.д.2289/2024 г. по описа на Административен съд Пловдив, с което е отхвърлена жалбата ѝ срещу решение ППН-02-415/19.09.2024 г. на Комисията за защита на личните данни (КЗЛД). С решението на КЗЛД, за нарушение по чл.83, §4, буква а , във връзка с чл.32, §1, буква г и чл.32, §4 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, ОРЗД) е наложено административно наказание глоба в размер на 2500 лева. На основание чл.58, §2, буква г от Регламент (ЕС) 2016/679 е издадено разпореждане на кмета на кметство с. Белозем за преглед и актуализация на вътрешните процедури и правила при обработка на данните, както и за обучение на служителите. В касационната жалба са изложени доводи за неправилност на решението, поради нарушение на материалния закон, процесуалните правила и необоснованост касационни основания по чл.209, т.3 от АПК. Касаторът счита, че неправилно е наложена глоба на кмета на кметство с. Белозем, тъй като администратор на лични данни е община Раковски. Поддържа, че съгласно изискванията на Регламент 2016/679 се изисква договор за предоставяне на правомощията по обработване на лични данни на трето лице, какъвто общината не е сключила с кметство с. Белозем, а има договаряне в този смисъл със специалистите в отдел ГРАО на с. Белозем за обработване на лични данни, като за целта те са снабдени с електронни подписи. Поддържа, че администратор на лични данни и отговарящ за защитата им е община Раковски и отдел ГРАО в общината, съответно и служителката в отдел ГРАО в кметство с. Белозем. Счита, че е спазен срокът по чл.38, §1 от Регламента за уведомяване на администратора на лични данни община Раковски за неправомерното обработване на лични данни, доколкото и служителката М. Т. също се е обадила в общината. Претендира разноски. Ответникът Комисия за защита на личните данни (КЗЛД), чрез юрисконсулт Тодоров, в писмени бележки, изразява становище за неоснователност на касационната жалба. Позовава се на съображение 100 от Регламент (ЕС) на Европейския парламент и на Съвета, според което всяко обработване на лични данни следва да се урежда с договор или друг правен акт между администратора и обработващия лични данни, съобразно изискванията на чл.28, §3 от Регламент 2016/679. Когато обработващият извършва обработване извън инструкциите на администратора, извършва нарушение на своите задължения, а кметът на кметство с. Белозем, в качеството си на обработващ, е допуснал нарушения на разпоредбите на чл.32, §1, б. г и §4 от Регламент 2016/679. По тези и други съображения моли да се остави в сила съдебното решение. Претендира юрисконсултско възнаграждение. Прокурорът от Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Касационната жалба е допустима, като подадена от надлежна страна, при спазване на срока по чл.211, ал.1 от АПК и срещу подлежащ на оспорване съдебен акт. Разгледана по същество е основателна. За да отхвърли жалбата срещу решението на КЗЛД, от фактическа страна АС Пловдив е приел за установено, че производството пред КЗЛД е образувано във връзка с постъпило в комисията с вх. 02-415#2/19.12.2023 г. постановление (ведно с материалите по преписката) за отказ от образуване на досъдебно производство по прокурорска преписка 6989/2023 г. на Районна прокуратура гр. Пловдив, с което материалите са изпратени на Председателя на КЗЛД за сведение и преценка за реализиране на административно-наказателна отговорност по Закона за защита на личните данни ( ЗЗЛД) спрямо М. Т.. Постановлението е издадено по искане за съдействие и проверка от В. П. - кмет на кметство с. Белозем, във връзка със съмнение на злоупотреба с лични данни, а именно изтичане на лични данни на физически лица от система ГРАО на кметство село Белозем на 12.06.2023 г. Установено е, че с трудов договор 56 от 07.09.2016 г., М. Т. е назначена на длъжност Старши специалист ГРАО (гражданска регистрация и обслужване на населението) към кметската администрация на кметство Белозем. Едно от основните й задължения е обслужване на населението, свързано с гражданската регистрация и изготвяне на съответни актове във връзка с него. За изпълнение на служебната си дейност Т. е имала издаден електронен подпис и достъп до Национална база данни на ГРАО, като същата е подписала декларация за поверителност в работа с лични данни. На 12.09.2023 г. М. Т. получила телефонно обаждане от лице, което се представило за областен управител на област Пловдив. По негово искане Т. предала по телефона лични данни на лица от различни общини (отразени подробно в решението на КЗЛД), тъй като смятала, че ги предоставя на служебно лице В. Р. заместник кмет на община Пловдив, в изпълнение на служебната си дейност. Действията й по предаване на лични данни по телефона, направили впечатление на на кмета на кметство с. Белозем В. П., като последната направила забележка на Т., че следва да спази реда за предоставяне на информацията след предварително подадено писмено искане. Така Т. прекъснала втория телефонен разговор, в който е предоставяла лични данни на неустановено при проверката лице. Със заповед 52/13.06.2023 г. на кмета на кметство Белозем й е наложено дисциплинарно наказание уволнение и трудовото й правоотношение е прекратено. При тези факти РП-Пловдив е отказала образуването на досъдебно производство по случая, и е изпратила преписката на КЗЛД. Комисията, след установяване на гореописаната фактическа обстановка, е приела, че В. Д. П. - кмет на кметство Белозем, в качеството на обработващ лични данни, съгласно чл.4, пар.7 и 8 от Регламент (ЕС) 2016/679, осъществявайки своята дейност, не е отчела естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, като не е приложила подходящи технически и организационни мерки, гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване. В резултат на това е осъществен неправомерен достъп до личните данни на 23 физически лица, в нарушение на чл.32 от Регламент (ЕС) 2016/679 на ЕП и на Съвета. Извела извод, че кмета на кметство Белозем е следвало да уведоми администратора - община Раковски, а община Раковски да уведоми КЗЛД за извършеното нарушение. С решението си КЗЛД наложила на кмета на кметство Белозем административно наказание глоба в размер на 2 500 лв. За да отхвърли жалбата на кмета на кметство Белозем срещу решението на КЗЛД решаващия съд е приел, че служителят на кметството М. Т. е действала под ръководството на обработващия лични данни кмета на кметството, който е и неин работодател и в това си качество е утвърдил и длъжностната характеристика за заеманата от нея длъжност ст.специалист ГРАО. АС Пловдив се е позовал и на нормата на чл.46 ал.1 т.6 от Закона за местното самоуправление и местната администрация ( ЗМСМА), съгласно която, кмета на кметство води регистрите на населението и за гражданското състояние и изпраща актуализационни съобщения до ЕСГРАОН. Съдът е обосновал, че в качеството си на обработващ лични данни, възлагайки правомощия за това на старши специалист ГРАО в кметството, кмета на кметство с. Белозем следвало да приложи подходящи технически и организационни мерки, за да гарантира, че лицата, оправомощени да обработват личните данни, са поели ангажимент за поверителност или са задължени по закон да спазват поверителност, в съответствие с чл.32 пар.1 б.г и пар.4 от Регламент 2016/679. Съдебното решение е валидно и допустимо, но неправилно, постановено в нарушение на материалния закон и при съществено нарушение на административнопроизводствените правила. С решението си КЗЛД е наложила административно наказание - глоба в размер на 2 500 ( две хиляди и петстотин) лв. на кмета на кметство Белозем в качеството му на обработващ лични данни. Съгласно чл.19 ал.3 т.2 от Закона за администрацията кметовете на кметства са териториални органи на изпълнителната власт. Административно наказание глоба може да се наложи на физическо лице, което следва да бъде индивидуализирано чрез собственото си, бащино и фамилно име, точен адрес и ЕГН ( за български гражданин). Тази индивидуализация е необходима с оглед личния характер на административнонаказателната отговорност и личната отговорност при налагане на наказанието глоба. В решението на КЗЛД подобна индивидуализация във връзка с наложеното наказание глоба не е извършена. При липсата на индивидуализация на нарушителя, очевидно е, че наложеното наказание глоба не би изпълнило целта си, тъй като няма да подлежи на ефективно изпълнение спрямо нарушителя. В допълнение - доколкото в ЗЗЛД няма специални правила относно имуществената санкция, приложими са нормите на чл.83 и сл. от глава IV на Закона за административните нарушения и наказания ( ЗАНН) относно субектите, които могат да бъдат санкционирани с имуществена санкция, каквато не е определена по отношение на кмета на кметство с. Белозем с решение ППН-02-415/19.09.2024 г. на КЗЛД. По изложените съображения касационната жалба е основателна. Решението на АС-Пловдив като неправилно следва да бъде отменено и вместо него бъде постановено ново, с което се отмени решение ППН-02-415/19.09.2024 г. на КЗЛД. Така мотивиран, Върховният административен съд, състав на пето отделение,