Решение № 6788 от 25.05.2009 г. на ВАС по адм. д. № 8973/2008 г.

Решение № 6788 от 25.05.2009 г. на ВАС по адм. д. № 8973/2008 г., III о., докладчик съдията Таня Куцарова Производството е по реда на чл. 145 от Административнопроцесуалния кодекс (АПК) и е образувано по жалбата на Георги Василев Краев от гр. София против Решение № 62 от 09.07.2008 г. на Комисията за защита на лични данни, с което е оставена без уважение жалбата му, рег. № Ж-62/06.11.2007 г. против "Метро Кеш енд Кери България" ЕООД. Твърди, че решението е незаконосъобразно и моли за отмяната му. Ответникът - Комисия за защита на лични данни чрез процесуалния си представител оспорва жалбата като неоснователна. Заинтересованата страна - "Метро Кеш енд Кери България" ЕООД не изразява становище по жалбата. Жалбата е процесуално допустима, като подадена в законния срок по чл. 149, ал. 1 от АПК от лице - адресат на обжалвания индивидуален административен акт, разгледана по същество е основателна. Производството пред административния орган - Комисия за защита на личните данни е започнало по повод подадената от Георги Василев Краев от гр. София жалба с правно основание чл. 38 от Закона за защита на личните данни против "Метро Кеш енд Кери България" ЕООД за нарушение правата му ЗЗЛД от дружеството като администратор на лични данни, във връзка с искането за прилагане на снимка и личен подпис към новата карта за пазаруване от магазините на дружеството и липсата на конкретен отговор на предявеното по надлежен ред право на достъп по чл. 26 от същия закон. Видно от преписката, представена по делото, жалбоподателят е бил клиент на дружеството, за което е представена първоначално издадената му карта за извършване на търговия от магазините на дружеството. През 2007 г. дружеството е предприело смяна на картите на клиентите си за търговия от магазините си, като при издаването им е поставило изискване за поставяне на снимка на клиента и полагане на личния подпис на лицата, сканирани върху пластичен носител. Със заявление от 15.10.2007 г., получено от дружеството на 17.10.2007 г., жалбоподателят е упражнил правото сина достъп до лични данни, регламентирано от чл. 26, ал. 1 от ЗЗЛД, като е поискал отговор на въпроса какви лични данни, отнасящи се до него като физическо лице се обработват, както и на кои получатели на лични данни същите са откриват, а също ката да се обоснове нуждата от снимка и подпис върху метро-картата. Със жалба от 02.11.2007 г. жалбоподателят е сезирал Комисията за защита на личните данни, като на основание чл. 38 от ЗЗЛД е поискал Комисията да забрани събирането на снимки и подписи върху новите пластмасови карти, както и налагане на санкции по реда на глава 8 от ЗЗЛД. Първоначално, след непроизнасяне в срока, предвиден от чл. 38, ал. 2 от ЗЗЛД, жалбоподателят е обжалвал мълчаливия отказ на комисията да произнесе по подадената жалба, но след постановяване на Решение № 62 от 09.07.2008 г., жалбата е била насочена против изричното решението, видно от писменото допълнение към първоначалната жалба. С Решение № 62 от 09.07.2008 г. Комисията за защита на личните данни е оставила без уважение жалбата от 02.11.2007 г., входирана при органа под № Ж-62/06.11.2007 г., приемайки, че по отношение на жалбоподателя администраторът не е извършил нарушение, тъй като поради липса на изрично съгласие от лицето неговите лични данни не са били обработвани. В мотивите също така е посочено, че администраторът, въпреки изричното изискване от комисията, не е представил инструкция за мерките за защита на личните данни по чл 23, ал. 4 от закона. Решението на Комисията за защита на личните данни е незаконосъобразно, поради съществено нарушение административнопроизводствените правила и нарушение на материалния закон. Нарушена е и целта на закона. Съгласно чл. 1, ал. 2 от ЗЗЛД целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните тях лични данни в процеса на свободното движение на данните. Личните данни се обработват правомерно, когато дейността по обработката им отговаря на изискванията на чл. 2, ал. 2, т. 1 - 6 включително. Съгласно чл. 38, ал. 1 от ЗЗЛД при нарушаване на правата по този закон, всяко физическо лице има право на сезира Комисията за защита на личните данни в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му. В случая Комисията за защита на личните данни е била сезирана с жалба за нарушение от страна на "Метро Кеш енд Кери България" ЕООД, в качеството на администратор на лични данни, като посоченото в жалбата нарушение според жалбоподателя се състои от една страна от предявяване на искане за предоставяне на фотография и личен подпис - лични данни по см. на чл. 2, ал. 1 от ЗЗЛД с цел обработването им за издаване на нова метро - карта. Целта на издаване на метро-картата е извършване на търговия от обектите на дружеството, а не използването й като кредитна карта, както се сочи в становището на заинтересованата страна от 28.11.2007 г. Дружество "Метро Кеш енд Кери България " ЕООД не е кредитна институция и не може да развива легално кредитна дейност, (върху кредитните карти, издадени от банките и кредитните институции не изисква наличие на снимка на притежателя). В жалбата на лицето е наведено оплакване за липса на конкретен отговор за нуждата за събиране и обработване на тези лични данни, с оглед правомерното им обработване съгласно чл. 2, ал. 2, т. 2 и 3 от закон. Комисията, като административен орган не е обсъдила в решението си обстоятелството, че и преди 2007 г. жалбоподателят е бил клиент в търговската дейност на дружеството, нарушила служебното начало, възлагайки на жалбоподателя доказателствената тежест за установяване на обстоятелството може ли същият да продължи да бъде клиент и за в бъдеще въпреки отказа му да ги предостави. За материалната законосъобразност на решението на Комисията е от значение обстоятелството дали действията по изискване на лични данни от клиент на дружеството (качество, което не е оспорено и е доказано с представяне на вече издадена карта), представляват обработване на лични данни съгласно легалното определение, дадено в § 1, т. 1 от Допълнителните разпоредби на закона. Всяко действие по събирането на лични данни, а в конкретния случай изискването от клиентите на дружеството на такива представлява действие по събирането, е включено в определението за обработване на лични данни, поради което изводите, залегнали в основата на административния акт са в противоречие с материалния закон. Обстоятелството, че жалбоподателят е отказал да ги предостави, след като са му били поискани, не изключва действията на администратора по събирането на лични данни от контрола на Комисията върху законосъобразното обработване на данните. Предвид констатираната незаконосъобразност на Решение № 62 от 9.07.2008 г. на Комисията за защита на личните данни следва да се отмени, а преписката да се върне на административния орган за ново произнасяне, предвид обстоятелството, че първоинстанционният съд не би могъл да се произнесе по същество, а в единствена компетентност на Комисията е да постанови решение по чл. 38 от ЗЗЛД. При решаване на спора Комисията следва да се произнесе по всички наведени в жалбата оплаквания и в съответствие с направените искания в рамките на правомощията си по чл. 38, ал. 2 от ЗЗЛД. Водим от изложеното, Върховен административен съд, трето отделение