Решение № 1903 от 15.02.2017 г. на ВАС по адм. д. № 11649/2015 г.

Решение № 1903 от 15.02.2017 г. на ВАС по адм. д. № 11649/2015 г., V о., докладчик председателят Марина Михайлова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисия за защита на личните данни против решение № 5263/23.07.2015 г., постановено по адм. дело № 3428/2015 г. на Административен съд С. - град /АССГ/. Оплакванията в касационната жалба са за неправилност на решението, като необосновано и постановено в противоречие с материалния закон - отменителни основания по чл. 209, т. 3 АПК. Ответникът - ЕОС "Матрикс ЕООД, град С. е депозирал писмен отговор със становище за неоснователност на касационната жалба. Ответницата - И. Б. С. от град Б. не изразява становище. Представителят на Върховната административна прокуратура дава заключение за неоснователност на касационната жалба и правилност на оспореното решение. Като взе предвид изложеното в касационната жалба и данните по делото настоящият състав на Върховния административен съд, констатира следното: Касационната жалба е подадена в срока по чл. 211, ал. 1 от АПК и от страна, за която съдебният акт в оспорената част е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е ОСНОВАТЕЛНА. С оспореното пред АССГ решение е отменено решение № Ж-941/10.03.2015 г., в частта му по т. 2, в която е уважена жалбата на И. Б. С. и по т. 4, с която на "ЕОС Матрикс" ЕООД, гр. С. е наложена имуществена санкция в размер на 12000 лева, за това, че в качеството му на администратор на лични данни обработва неправомерно личните данни на Стоева, което е нарушение по чл. 4, ал. 1 от Закона за защита на личните данни / ЗЗЛД/. АССГ е приел, че решението на Комисията за защита на личните данни в оспорените му части е издадено от компетентния съгласно чл. 38 от ЗЗЛД, при спазване на изискванията за форма и на административнопроизводствените правила, но при неправилно приложение на материалния закон. Установено е по делото, че И. Б. С. е абонат на "БТК" ЕАД и е ползвала договорени с оператора услуги, като е дала изричното си съгласие оператора да обработва личните й данни. Съгласно сключения между страните между "БТК" АД и Стоева индивидуален договор, последната е декларирала съгласието си телекомуникационният оператор да предоставя личните й данни на трети лица, в т. ч на банки, кредитни бюра и агенции за събиране на вземания. Доказано е, че Стоева не е заплатила задълженията cи за ползвани телекомуникационни услуги за периода от 05.06.2013 г. до 14.11.2013 г. в общ размер на 88,61 лева. Въз основа на Рамков договор за събиране на вземания № 23532/19.09.2008 г., "БТК" АД е възложило на "ЕОС Матрикс" ЕООД да организира с всички позволени от закона средства събирането на вземането от жалбоподателката. Към посочения рамков договор е сключено споразумение за заместване на страна на 19.03.2014 г., като страните са се споразумели "ЕОС Матрикс" ЕООД да бъде заместен от ЕОС "Сървисис " ООД. На 04.06.2014 г. личните данни на Стоева са предоставени на "Ф. П. К." на основание договор за събиране на вземания на оператора. КЗД е приела, че в конкретния случай "БТК" ЕАД има качеството обработващ лични данни по смисъла на § 1, т. 3 от ДР на ЗЗЛД, както и че "ЕОС Матрикс" ЕООД притежава на собствено основание качеството администратор на лични данни, по смисъла на чл. 3 от ЗЗЛД. При тези фактически констатации КЗЛД е приела, че в тежест на "ЕОС Матрикс" ЕООД е да докаже, че е налице поне едно от условията, съдържащи се в нормата на чл. 4, ал. 1 ЗЗЛД, за да е законосъобразно обработването на свързаните със Стоева лични данни. Прието е, че "ЕОС Матрикс" ЕООД, в качеството му на администратор на лични данни, не ангажира доказателства, обосноваващи по безспорен начин, че е налице поне едно от изрично посочените от законодателя в чл. 4, ал. 1 ЗЗЛД условия за обработване на лични данни. Изложени са мотиви, че не е налице нормативно установено задължение на администратора на лични данни - "ЕОС Матрикс" ЕООД да обработва личните данни на И. С. Посочено е, че изричното съгласие на физическото лице, за което данните се отнасят, е следващо условие за допустимост за обработване на личните й данни, като Стоева била изразила съгласие личните й данни да се обработват единствено от "БТК" ЕАД, не и от фирмите за събиране на вземания. Обсъдено е, че обработването на личните данни на Стоева от страна на "ЕОС Матрикс" ЕООД не е необходимо и за изпълнение на задължения по договор, по който тя да е страна, тъй като Стоева не е подписвала договори и споразумения с "ЕОС Матрикс" ЕООД. Изложени са съображения, че обработването на данните на Стоева не е необходимо и за упражняване на правомощия, предоставени със закон на администратора на лични данни. В заключение е формиран извод, че обработването на личните данни на И. С. от страна на "ЕОС Матрикс" ЕООД е неправомерно. АССГ не е възприел правните изводи на КЗЛД по съображения, че вписването на един правен субект като администратор на лични данни не го лишава от предоставената му в нормата на § 1, т. 3 ДР на 33ЛД правна възможност да участва в процеса на обработване на личните данни в друго качество - като обработващ данните. Качеството, в което този субект обработва личните данни (като администратор или като обработващ) се установява след конкретно изследване на връзката между субекта и обработваните лични данни - ако субектът сам определя целите и средствата за това обработване, то тогава е осъществена хипотезата на чл. 3, ал. 1 ЗЗЛД и субектът има правното положение на администратор. В случай, че същият обработва лични данни, но не определя сам целите и средствата за това обработване, а обработва данните съобразно определените от друг субект цели и средства (администратор) от негово име, то тогава обработващият личните данни участва в правоотношението не като администратор, а като обработващ по смисъла на § 1, т. 3 ДР на ЗЗЛД. Поради това "ЕОС Матрикс" ЕООД, макар че вписан като администратор на лични данни, в процесния случай е обработвал личните данни на Стоева в качеството на обработващ по смисъла на § 1, т. 3 от ДР на ЗЗЛД, доколкото е обработвал тези лични данни от името и за сметка на администратора на личните данни - "БТК" ЕАД. Касационната инстанция намира така постановеното решение за неправилно. Личните данни на Стоева са обработени от "ЕОС Матрикс" ЕООД в нарушение на условията, предвидени в чл. 4, ал. 1 от закона. По силата на сключения договор между "БТК" ЕАД и Стоева индивидуален договор за предоставяне на телекомуникационни услуги, като по силата на общите условия, неразделна част от договора, абонатът дава съгласие личните й данни да бъдат предоставени от оператора на трето лице във връзка със събиране на задълженията по договора. С Рамков договор за събиране на вземания № 23532/19.09.2008 г., "БТК" АД е възложило на "ЕОС Матрикс" ЕООД вземанията по договори за услуги. На основание сключения договор последното дружество предприема действия по събиране на вземането на "БТК" ЕАД, като провежда разговори с абоната, използвайки личните й данни. При тези факти следва да се приеме, че личните данни на И. С. са обработени от страна на "ЕОС Матрикс" ЕООД в нарушение на изискванията на чл. 4, ал. 1 от ЗЗЛД. Съгласно цитираният текст обработването на лични данни е допустимо при наличие на някое от изброените условия, които в случая не са осъществени. В нарушение на чл. 4, ал. 1, т. 1, т. 4, т. 5, т. 6 и т. 7 обработването не е извършено в изпълнение на нормативно установено задължение на администратора, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закона, както и за реализиране на законни интереси на администратора, пред които интересите на физическото лице нямат приоритет. Не е налице и условието по чл. 4, ал. 1, т. 2 от ЗЗЛД. Съгласието, дадено от Стоева при сключване на договора с "БТК" ЕАД личните й данни да бъдат предоставени на трето лице за събиране вземанията по договора, овластява единствено мобилния оператор да предостави данните. В разглежданата хипотеза данните на Стоева са предоставени за обработване от "ЕОС Матрикс" ЕООД и на трето лице - "Ф. П. К." ООД, а не от оператора на мобилна услуга. Физическото лице, чието данни са обработени, няма сключен договор с нито едно от двете дружества и не е давало съгласие личните й данни да бъдат предоставени на трето лице Изложеното налага извода, че личните данни на Стоева са обработени от дружеството жалбоподател без да са изпълнени предвидените в нормата на чл. 4, ал. 1 от ЗЗЛД условия за това. Ето защо като достига до заключение, че от страна на дружеството не е допуснато нарушение на изискванията на цитирания текст и по тези съображения е отменил решението на на Комисията за защита на личните данни в частта, в която такова нарушение е установено, съставът на Административен съд С. - град постановява акт в нарушение на нормативната уредба. Обстоятелството, че обработването на личните данни на Стоева е въз основа на сключен договор, не обоснова извод за законосъобразност на обработването, тъй като възложителят по договора не е имал основание да предостави данните на физическото лице за обработване на друг администратор, т. е. достъпът до данните е разрешен в нарушение на изискванията на чл. 2 и чл. 4 от ЗЗЛД . Да се приеме обратното, а именно, че всеки администратор на лични данни би могъл да ги предостави безпрепятствено на друг за обработване, би означавало да се осигури достъп на практически неограничен кръг лица до личните данни на абонатите на мобилни услуги, което е в противоречие с целта на закона - личните данни да се обработват от оторизирани лица при нормативно установени условия и цели. Неоснователни са изводите на АССГ, че "ЕОС Матрикс" ЕООД е лице обработващо личните данни по смисъла на § 1, т. 3 от ДР на ЗЗЛД. Обстоятелството, че в случая "ЕОС Матрикс" ЕООД обработва личните данни на Стоева самостоятелно като администратор на лични данни, а не като обработващ данните, следва както от съдържанието на представените по преписката договори, така и от твърденията в жалбата пред Комисията за защита на личните данни, които не са опровергани от ангажираните в хода на административното и съдебно производство доказателства. Възражението за необоснованост на съдебния акт също е основателно. Изводите на съдебния състав не съответстват на събраните доказателства. Липсата на доказателства за изрично съгласие съгласно чл. 4, ал. 1, т. 2 от ЗЗЛД на лицето, за което се отнасят данните да бъдат обработвани от конкретно дружество, като операторът е длъжен да го уведоми предварително, води до извода, че обработването е предприето в нарушение на условията на чл. 4, ал. 1 от ЗЗЛД. Това обосновава и извода за допуснато от дружеството нарушение и за неоснователност на жалбата му против административния акт в частта, в която това нарушение е установено. Определянето на размера на наложената имуществена санкция в размер на 12 00 лева от страна на КЗЛД е правилно и обосновано. Съгласно разпоредбата на чл. 42, ал. 1 от ЗЗЛД е в размер от 10 000 до 100 000 лева. Мотивите на административния орган са в насока, че наказанието следва да бъде определено към минималния размер, предвид тежестта на нарушението и обществените отношения, които засяга. Настоящият състав споделя тези мотиви и счита, че размерът на имуществената санкция е правилно определен. Поради всичко изложено настоящата инстанция приема, че са налице основания за отмяна на съдебния акт в оспорената му част, като след отмяната му настоящият състав следва да постанови решение по съществото на спора, с което да отхвърли жалбата навместо частта, в която жалбата на "ЕОС Матрикс" ЕООД против т. 2 и т. 4 от решението на Комисията за защита на личните данни. Съобразно изхода на спора пред настоящата инстанция и претендираните разноски от касатора и пред двете съдебни инстанции, в полза на КЗЛД следва да бъде присъдено юрисконсултско възнаграждение в размер на 200 лева /по 100 лева за всяка инстанция/ на основание чл. 78, ал. 8 от ГПК във връзка с чл. 24 от Наредба за заплащането на правната помощ. По тези съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, пето отделение,