Решение № 5378 от 22.5.2025 г. на ВАС по адм. д. № 1105/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисията за защита на личните данни (КЗЛД/Комисията) против решение 26480/09.12.2024 г., постановено по адм. д. 9714/2024 г. по описа на Административен съд София-град (АССГ). Касаторът обжалва съдебното решение с твърдения за неправилност, поради необоснованост и неправилно приложение на закона - касационни основания за отмяна по смисъла на чл. 209, т. 3 АПК, поради което се иска да бъде отменено. Съображения в подкрепа на твърденията са изложени в касационната жалба, в която се акцентира върху неправилната преценка на първата инстанция на доказателствата и грешните фактически установявания относно узнаването на нарушението от страна на субекта на данни, които са продължили да се обработват и след дата, приета от АССГ за начален момент на срока по чл. 38, ал. 1 от Закона за защита на личните данни (ЗЗЛД). Претендира разноски. Ответникът Център за градска мобилност ЕАД (ЦГМЕАД) оспорва касационната жалба по съображения в писмен отговор. Претендира разноски. Ответната страна М. К. М. изразява становище за основателност на касационната жалба по съображения в писмен отговор като иска да бъде върнато делото за ново разглеждане от друг състав на първата инстанция. Претендира разноски. Ответната страна Консорциум Си Ен Ес София тикетинг систем оспорва касационната жалба. Не претендира разноски. Прокурорът от Върховната касационна прокуратура заявява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба като подадена от страна в производството, в срок е процесуално допустима, а разгледана по същество е основателна по следните съображения: С обжалваното съдебно решение 26480/09.12.2024 г., постановено по адм. д. 9714/2024 г. по описа на АССГ е отменено Решение ППН-02-191/ 2023г от 26.07.2024г на КЗЛД в частта, с която: 1. е обявена основателна жалба ППН 02-191 от 27.03.2023г на М. К. М. срещу ЦГМ ЕАД за нарушение на чл. 6 и чл. 5, § 1 б. а и б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД, Регламента); 2. на основание чл. 58 § 2 б. г от Регламент 2016/ 679 е разпоредено на ЦГМ ЕАД: 2.1 да извърши проверка дали навсякъде, където са били разпространени ръководствата с личните данни на М. М., обработването на данни е преустановено, въз основа на което да изтрие тези лични данни които обработва незаконосъобразно и нецелесъобразно. 2.2.да задължи консорциум Си Ен Ес-София Тикетинг Систем да изтрие всички лични данни на М. М., които обработва в нарушение на Регламент 2016/ 679; т.3 задължава администратора на лични данни да представи на КЗЛД доказателства за изпълнение на горепосочените разпореждания в 1 месечен срок считано от влизане в сила на решението; т. 4 на основание чл. 58, § 2 б. и във връзка с чл. 83, § 5, б. а от ОРЗД е наложена имуществена санкция в размер на 20 000 лв. на ЦГМ ЕАД, както и са присъдени разноски. За да постанови този резултат АССГ е приел, че решението е постановено от компетентен орган в предвидената от закона писмена форма, но по повод просрочена жалба, поради което се явява в нарушение на административнопроизводствените правила. Първата инстанция е обосновала извод, че при наличие на основателно основание по чл. 146, т. 3 от АПК не се налага обсъждане на материалната законосъобразност на оспорения пред нея акт. Така постановеното решение е валидно, допустимо, но неправилно. Атакуваното съдебно решение е постановено от законен състав след надлежно сезиране с процесуално допустима жалба против подлежащ на оспорване административен акт. Обжалваното съдебно решение е валидно като постановено от законен състав в рамките на правораздавателната му власт. Съдебното решение е допустимо като постановено при надлежно упражняване правото на жалба от ЦГМЕАД против Решение ППН-02-191/2023 г. от 26.07.2024 г. на КЗЛД. Основно и единствено съображение на първата инстанция в подкрепа на извода за основателност на жалбата, с която е сезирана е приетото за установено изтичане на срока по чл. 38, ал. 1 от ЗЗЛД. Неправилно и в противоречие със събраните по делото доказателства АССГ е приел, че жалбата на М. М. до КЗЛД е подадена след изтичане на срока по чл. 38, ал. 1 от ЗЗЛД. Решаващият съд е игнорирал характера на нарушението, което се твърди, че е извършено от ЦГМЕАД, а именно обработване на личните данни на М. М. чрез тяхното разпространение без нейното съгласие в електронна система и до голям кръг трети лица, което разпространение продължава и към датата на издаване на решението на КЗЛД. В случая КЗЛД е приела за установено нарушение, което се изразяван в разпространение на личните данни на М. М. (ЕГН,три имена и адрес) в ръководството за работа/образци за работа/ на потребителите на системата за електронно таксуване, които са сведени до знанието на всички служители на длъжност касиер абонаментни карти в ЦГМЕАД чрез въвеждането им в електронната система и ръководства за работа с нея, за чието усвояване са провеждани обучения на работещите с електронната система. Участието на М. М. в едно от тези обучения и неформалните разговори с други участници в този тип обучения, от които тя е разбрала, че нейните лични данни са включени в образците на документите, генерирани от електронната система, не е възможно да се разглеждат като момент, в който тя е разбрала за твърдяното нарушение. Не е налице признание на субекта на данни относно момента на узнаването, както е приел АССГ доколкото на М. М. обективно не е било възможно да разполага с информация относно конкретния вид и обем на извършеното обработване на нейните лични данни от ЦГМЕАД и третите лица, на които те са предоставени от нейния бивш работодател. В подкрепа на този извод е и наложената мярка по т. 2.1 от отмененото от първата инстанция решение на КЗЛД, според което се налага допълнителна проверка доколко навсякъде е преустановено обработването на трите имена, ЕГН и адрес на М. М.. Следователно при липса на категорични данни относно действителния обем на разпространението на личните данни на М. М. не е възможно да се приеме, че подадената от нея жалба до КЗЛД за неправомерното им обработване под формата на разпространение в продължителен период от време на практически неограничен кръг лица, е просрочена поради изтичане на шестмесечен срок от момента, в който тя за първи път е забелязала, че данните й се използват за едно конкретно обучение, респективно е уведомена неформално, че подобни обучения продължават с други участници. Всяко следващо обучение и съществуването на разпространени ръководства за работа с електронната система представлява обработване на лични данни, прието за нарушение на ОРЗД в решението на КЗЛД, което АССГ е бил длъжен на основание чл. 168, ал. 1 от АПК да провери на всички основания по чл. 146 от АПК. Като се е ограничил само до проверката на основанието по чл. 146, т. 3 от АПК, при която е формирал и неправилен правен извод, първоинстанционният съд е постановил решение в противоречие със закона, което на основание чл. 221, ал. 2 от АПК трябва да бъде отменено. При липсата на фактически установявания и правни изводи относно останалите основания по чл. 146 от АПК е ограничен касационния контрол по същество на спора, поради което и на основание чл. 222, ал. 2, т. 1 АПК делото следва да бъде върнато на АССГ за ново разглеждане. При новото разглеждане на делото първоинстанционният съд следва да съобрази изложеното по-горе в мотивите на настоящото решение и след преценка на представените доказателства, на доводите и възраженията на страните да постанови решение по същество на спора. На основание чл. 226, ал. 3 АПК въпросът за разноските пред настоящата инстанция следва да се реши от първоинстанционния съд при новото разглеждане на делото. По изложените съображения и на основание чл. 221, ал. 2, предложение второ във връзка с чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, Пето отделение