Решение № 7684 от 11.8.2022 г. на ВАС, V о.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационни жалби, подадени от:

1.Комисия за защита на личните данни /КЗЛД/, чрез процесуален представител, срещу решение 7852/22.12.2021г., постановено по адм.д. 7613/2021г. на Административен съд София-град /АССГ/, в частта, в която:

-отменя Решение ППН-01-358/201 от 28.05.2019г. на КЗЛД, в частта по т.8, с която във вр. с т.2 на осн. чл.58, §2, б.г от ОРЗД, е разпоредено на администратора на лични данни Лаптоп БГООД, при обработката на лични данни на ФЛ в контекста на продажба на стоки/продукти от разстояние и тяхната доставка чрез дружество, предоставящо услуги по ЗПУ, да предприеме мерки в насока задаване опция за получаване на стоката/продукта от получателя, единствено в офис на дружеството, чрез което се извършва доставката, като единствена възможност за това, ведно с даване на указания до последния, забраняващи връщането на пратките по начин, различен от указания, в срок 3 месеца, считано от датата на влизане в сила на настоящето решение. За изпълнение на разпореждането администратора да уведоми комисията като представи съответни доказателства. Преписката в частта по т.8 е изпратена от АССГ на КЗЛД за ново произнасяне в 14 дневен срок от влизане в сила на решението.

-отменя по жалба на Стефи експресЕООД Решение ППН-01-358/2019 от 28.05.2019г. на КЗЛД, в частта по т.4 и т.10, с които: т.4 Обявява жалба рег. ППН-01-358 от 08.04.2019г. на М. Хаджи срещу Стефи експресЕООД- обработващ личните данни от името на администратора Еконт експресООД, за основателна за извършено нарушение на чл.32, §4 от Регламент (ЕО) 2016/679- за това, че към дати 08.01.2019г. и 10.01.2019г. не е предприел мерки (технически и организационни), спрямо своя служител И. Колев, на когото е предоставен достъп до лични данни на М. Хаджи в контекста на доставката на пратки, гарантиращи че обработката на данните се извършва съобразно указанията на администратора на лични данни, а именно за персонална и документална защита- подготовка на лицето за работа с личните данни (запознаване и обучение с нормативната уредба и вътрешните правила) и въвеждане на процедура по проверка и контрол на обработката.; т.10 във вр. с т.4 и на основание чл.83, §4, б. а вр. чл.58, §2, б. и от Регламент (ЕО) 2016/679, налага на Стефи експресЕООД , имуществена санкция в размер на 2000 лева.

КЗЛД е осъдена да заплати на Стефи експресЕООД сумата в размер на 490 лева разноски по производството, и на Лаптоп БГООД сумата в размер на 525 лева разноски по производството.

Касаторът КЗЛД навежда доводи за нищожност, евентуално неправилност на решението на АССГ в обжалваната част, като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл.209, т.2 и т.3 от АПК. Моли решението да бъде отменено в обжалваната част, включително в частта относно разноските. Подробни съображения излага в касационната жалба. Претендира разноски. Прави възражение по чл.78, ал.5 ГПК.

Ответната страна- М. Хаджи не изразява становище по касационната жалба на КЗЛД. Не претендира разноски за производството по тази касационна жалба.

Ответната страна- Еконт експресООД не изразява становище по касационната жалба. Не претендира разноски.

Ответната страна- Стефи експресЕООД, чрез процесуален представител в писмен отговор оспорва касационната жалба на КЗЛД, в частта относно отмяната по жалба на Стефи експресЕООД на Решение ППН-01-358/2019г. от 28.05.2019г. на КЗЛД, в частта по т.4 и т.10, и моли да бъде оставена без уважение в тази част. Претендира разноски.

Ответната страна- Лаптоп БГООД, чрез процесуален представител в писмен отговор оспорва касационната жалба на КЗЛД, в частта относно отмяната по жалба на Лаптоп БГООД на Решение ППН-01-358/2019г. от 28.05.2019г. на КЗЛД, в частта по т.8, и моли да бъде оставена без уважение в тази част. Претендира разноски.

Ответната страна- Наави 13ЕООД не изразява становище по касационната жалба на КЗЛД. Не претендира разноски.

Ответната страна- Уникредит кънсюмър файненсингЕАД, чрез процесуален представител оспорва касационната жалба на КЗЛД. Претендира разноски.

Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба на КЗЛД.

2. Уникредит кънсюмър файненсингЕАД, чрез процесуален представител, срещу решение 7852/22.12.2021г., постановено по адм.д. 7613/2021г. на Административен съд София-град, в частта, в която:

-отхвърля жалбата на Уникредит кънсюмър файненсингЕАД срещу Решение ППН-01-358/2019 от 28.05.2019г. на КЗЛД, в частта по т.1, 6, и 7, с които: т.1 Обявява жалба с per. ППН-01-358 от 08,04.2019 г. подадена от М. Хаджи срещу Уникредит Кънсюмър Файненсинг" ЕАД, [ЕИК] - администратор на лични данни, за основателна за извършено нарушение на чл.6, §1 от Регламент (ЕО) 2016/679 - обработване на лични данни на М. Хаджи в контекста на отпуснати стокови кредити от дати 04.01.2019 и 08.01.2019г. без валидно правно основание затова.; 6.Във връзка с т.1 и на основание чл.58, §2, буква г от Регламент (ЕО) 2016/679 разпорежда на администратора Уникредит Кънсюмър Файненсинг ЕАД, [ЕИК] да въведе мерки, процедура или механизъм, посредством които да се извършва проверка при процедурата по кандидатстване, одобрение и сключване на договор от разстояние относно идентичността на ФЛ, които предоставят лични данни за горепосочените цели с ФЛ, до които се отнасят тези данни, в срок от 3 (три) месеца, считано от датата на влизане в сила на настоящото решение. За изпълнение на разпореждането администратора да уведоми комисията като представи съответни доказателства.; 7.Във връзка с т.1 и на основание чл.83, §5, буква а вр. чл.58, §2, буква и от Регламент (ЕО) 2016/679 допълнително към мярката по т.6 от настоящото решение налага на администратора на лични данни Уникредит Кънсюмър Файненсинг ЕАД, [ЕИК] имуществена санкция в размер на 5000.00 (пет хиляди) лева.

Касаторът Уникредит Кънсюмър Файненсинг ЕАД навежда доводи за неправилност на решението на АССГ в обжалваната част, като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменително основание съгласно чл.209, т.3 от АПК. Моли решението да бъде отменено в обжалваната част. Подробни съображения излага в касационната жалба. Претендира разноски.

Ответната страна- М. Хаджи, чрез процесуален представител оспорва касационната жалба на Уникредит Кънсюмър Файненсинг ЕАД и моли да бъде отхвърлена. Претендира разноски.

Ответната страна- Еконт експресООД не изразява становище по касационната жалба. Не претендира разноски.

Ответната страна- Стефи експресЕООД, не изразява становище по касационната жалба. Не претендира разноски.

Ответната страна- Лаптоп БГООД, не изразява становище по касационната жалба. Не претендира разноски.

Ответната страна- Наави 13ЕООД не изразява становище по касационната жалба на КЗЛД. Не претендира разноски.

Ответната страна- КЗЛД чрез процесуален представител оспорва касационната жалба на Уникредит кънсюмър файненсингЕАД. Претендира разноски.

Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба на Уникредит кънсюмър файненсингЕАД.

Настоящият състав на Върховния административен съд, Пето отделение, приема, че касационната жалба на КЗЛД е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е основателна.

За да постанови решение 7852/22.12.2021г. в обжалваната му от КЗЛД част по отношение корективната мярка спрямо Лаптоп БГООД съдът е приел, че оспореното решение е издадено от компетентен административен орган при спазване изискванията за форма и съдържание, без да са допуснати съществени нарушения на административнопроизводствените правила, но при неправилно приложен материален закон.

Съдът е приел за безспорно установено, че при сключване на договор от разстояние по електронен път за продажба на електронни устройства/смартфони, дронове и лаптопи/, от Лаптоп БГООД са обработени лични данни на жалбоподателя М. Хаджи, но обработването е незаконосъобразно- в нарушение на чл.6, §1, б. а от Общ регламент за защита на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г.(ОРЗД, Регламента), тъй като субекта не е дал съгласие за това, предвид предоставената от прокуратурата информация, от която се установява, че IP адресът, от който е направена заявката е на друго лице, т.е. Хаджи не е инициирал сключването на договора.

Според АССГ последица от това нарушение е прилагане на подходяща мярка в съответствие с корективните правомощия на националния орган, но наложената в случая корективна мярка спрямо администратора на лични данни Лаптоп БГООД няма да постигне целения резултат, а именно недопускане злоупотребата с чужди лични данни при извършване на продажби от разстояние, тъй като дори получаването на пратките да бъде ограничено до офис на дружеството, чрез което се извършва доставката, то предоставянето на куриера от получателя на документ за самоличност, който съдържа чужди лични данни /подправена лична карта/, не може да бъде избегнато.

Съдът е посочил, че чл.70 от Закона за българските лични документи /ЗБЛД/ не предвижда възможност куриерът да може да извърши справка в информационните фондове за българските лични документи по чл.65 ЗБЛД и да сравни данните за да предостави пратката на получателя.

По отношение корективната мярка спрямо Стефи експресЕООД съдът е намерил за недоказано вмененото нарушение на чл.32, §4 ОРЗД.

АССГ е приел, че Стефи експресЕООД е действало като обработващ лични данни по см. на §4 от Регламента (вероятно АССГ е имал предвид чл.4, §8 ОРЗД)-от името на администратора Еконт експресООД, и в това му качество администратора е предоставил личните данни на Хаджи за извършване на фактическата доставка, включващи адрес, име и телефон за връзка, от който телефонен номер куриер на дружеството е получил обаждане от клиента с искане за промяна на адреса за доставка.

Според съда, към момента на извършване на доставката за служителя на Стефи експресЕООД не е имало съмнение относно авторството на обаждането, предвид това, че администратора на лични данни е предоставил именно този номер за връзка с клиента.

Съдът е достигнал до заключениед, че изводът на АО за осъществено нарушение на чл.32, §4 ОРЗД би бил верен в случай, че куриерът е получил обаждане от друг номер и при това положение е доставил пратката на друг адрес, при положение, че принципно възможността за промяна на адреса на доставка е предвиден в общите условия на администратора.

Решението на АССГ в тази част е валидно и допустимо, но неправилно.

По делото не е спорно, че Лаптоп БГООД е администратор на лични данни по см. чл.4, §7 ОРЗД, и че в това качество дружеството е обработило по см. чл.4, §2 ОРЗД лични данни на жалбоподателя М. Хаджи без този субект на данни не е дал съгласие за това. В този смисъл дружеството е извършило нарушение на чл.6, §1, б. а от ОРЗД, при изключване хипотезите на чл.6, §1, б. б- е от Регламента- факт, който не е опроверган в проведените административно и съдебно производство, включително пред настоящата инстанция.

Спорният въпрос е относно упражнените правомощия на надзорния орган по чл.58, §2, б.г ОРЗД, правилно приложени в конкретния казус от КЗЛД предвид горепосочените факти, чрез разпореждане, с което в съответствие с цитирания текст от Регламента, на администратора на лични данни е разпоредено да съобрази операциите по обработване на лични данни с настоящия регламент, което да се извърши по указан от органа начин и в определен срок. Начинът и срокът за извършаване на разпореждането според ОРЗД е по преценка на надзорния орган и се определя от него по целесъобразност съобразно с особеностите на конкретния случай. Контролът на съда се изчерпва в обхвата на законосъобразност на упражненото правомощие, а както се отбеляза по-горе конкретните мерки са приложени при законосъобразно поведено производство, след доказано в това производство нарушение на разпоредби на регламента, в съответствие с неговите цели, вкл. по т.40 от преамбюла, и в рамките на предвидените в чл.58 ОРЗД правомощия.

Неправилно първостепенния съд е обвързал законосъобразността на приложената корективна мярка с постигането целения от нея резултат, поради което в тази част съдебния акт противоречи на приложимите материалноправни норми и е необоснован.

Решението на АССГ е неправилно и по отношение отмяната на оспорения АА по т.4 и т.10.

Противно на възприетото от АССГ, в случая е налице допуснато от Стефи експресЕООД нарушение на чл.32, §4 ОРЗД - дружеството в качеството му на обработващ лични по см. на чл.4, §8 ОРЗД, имащо достъп до лични данни на субекта М. Хаджи, не е обработило тези данни по указания на администратора, при изключване приложението на предложение последно на чл.32, §4 от Регламента, при което е не е осигурило необходимата сигурност на предоставените му лични данни в процеса на тяхното обработване. Този извод се налага предвид установените по делото факти, от които е видно, че не се касае за едностранно действие на служителя на дружеството, изразено в промяна на предварително заявения адрес на доставка, а за поредица от действия на служителя, довели до предоставяне стоката пряко на лице на място, което не може изобщо да се характеризира като адрес на доставка по см. на условията на доставка определени от администратора на лични данни, т.е. извършена е самоволна промяна на тези условия, относно мястото и начина на доставка. Това има за резултат нарушение на условията, определени от този администратор за обработка на предоставените от него лични данни на обработващия. Ето защо извода на АССГ за недоказаност на нарушението е необоснован и не съответства на установените по делото факти.

Първоинстанционният съд е постановил съдебно решение в тези обжалвани части при наличие на сочените от касатора КЗЛД основания за отмяна - нарушение на материалния закон и необоснованост. Решението на АССГ следва да бъде отменено на основание чл.221, ал.2 от АПК, като след отмяната му настоящият състав постанови решение по съществото на спора, с което отхвърли жалбите на Лаптоп БГООД против Решение ППН-01-358/2019г. от 28.05.2019г. на КЗЛД, в частта по т.8, и на Стефи експресЕООД против Решение ППН-01-358/2019г. от 28.05.2019г. на КЗЛД, в частта по т.4 и т.10.

Касационната жалба на Уникредит кънсюмър файненсингЕАД, чрез процесуален представител, срещу решение 7852/22.12.2021г., постановено по адм.д. 7613/2021г. на Административен съд София-град в посочената погоре обжалвана част е процесуално допустима. Разгледана по същество е неоснователна.

Корективната мярка спрямо това дружество е предприета на основание чл.58, §2, б. г от Регламента, за извършено нарушение на чл.6, §1 от Регламента-обработване лични данни на М. Хаджи в контекста на отпуснати стокови кредити от дати 04.01.2019 (договор 3525203) и от 08.01.2019г. (договор 3529250) без валидно правно основание за това.

От приетите по делото и неоспорени от страните доказателства се установява, че Уникредит кънсюмър файненсингЕАД, в качеството му администратор на лични данни е извършил обработване по см . на чл.4, §2 ОРЗД на лични данни на субекта на данни М. Хаджи, в нарушение на условието по чл.6, §1, б.б от ОРЗД, при изключване приложимост на другите предвидени условия за законосъобразност на обработването на лични данни в чл.6 от регламента, защото в конкретния казус обработването не е било необходимо за договор, по който субекта на данните (М. Хаджи) е страна- по делото е доказано, че Хаджи не е направил волеизявление по см. на ЗЕДЕУУ за сключване на двата процесни договора за стоков кредит, като същевременно това лице- субект на данни не е предприемало спрямо администратора на лични данни стъпки по см. на чл.6, §1, б.б, предложение второ от ОРЗД, преди сключване на договор- в случая процесните договори за стоков кредит.

Горното обосновава необходимостта при прилагане корективните правомощия по чл.58 ОРЗД, надзорния орган да съобрази особеностите на конкретния случай, като в допълнение на приложената мярка по §2 б.г на чл.58 ОРЗД спрямо администратора на лични данни, да наложи имуществена санкция с оглед осигуряване за ефективност и възпиращ ефект чрез този вид санкция спрямо неправомерните действия, извършвани в нарушение на чл.6, §1, б.б ОРЗД. В случая наложената имуществена санкция в определения размер от 5000лв. на администратора, е пропорционална и отговаря напълно на условията по чл.83, §1 и §5, б.а ОРЗД, като съобразена с конкретните особености на казуса.

Това налага извод за законосъобразност на обжалваното решение на АССГ в тази негова част.

Не се кредитират доводите на Уникредит кънсюмър файненсингЕАД, наведени в касационната жалба. Горепосочените факти, относими към приложената от АО корективна мярка, са установени в проведеното пред надзорния орган административно производство и не са опровергани с допустимите доказателствени средства в проведеното съдебно производство пред АССГ, включително пред касационната инстанция.

Противно на изложеното от касатора не се установяват допуснати от административния съд съществени процесуални нарушения. В съответствие с разпоредбата на чл.168, ал.1 от АПК съдът е извършил проверка на законосъобразността на оспорения акт. Доказателствената тежест в процеса е разпределена съобразно изискванията на чл.170 от АПК, при проявена от съдебния състав процесуална активност съгласно чл.171, ал.4 от АПК. Решението на съда е постановено след събиране на допустимите и относимите към предмета на съдебното производство доказателства и след тяхното обсъждане, включително и доводите на страните.

Решението на АССГ е обосновано. Изводите на съдебния състав кореспондират със събраните по делото доказателства и са формирани след тяхната правилна преценка.

На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение в тази му част, не са налице сочените от касатора нарушения по чл.209, т.3 от АПК, поради което същото следва да бъде оставено в сила.

Предвид изхода на спора по двете касационни жалби и съобразно претендираните и доказани разноски, на касатора КЗЛД следва да се присъдят сторените разноски за две съдебни инстанции общо в размер на 470лв., от които 200лв. юрисконсултско възнаграждение за всяка съдебна инстанция при данни за осъществено представителство от юрисконсулт, и 70 лв. заплатена ДТ, платими от ответниците по касацияСтефи експресЕООД и Лаптоп БГООД.

С оглед сторената претенция за разноски в отговора на касационната жалба от М. Хаджи, на този ответник по касация следва да присъдят разноски за касационната инстанция в размер на 350 лева, представляващи платено адвокатско възнаграждение по договор за правна защита и съдействие от 08.03.2022г. с адвокат И. Пелтекова, платими от касатора Уникредит кънсюмър файненсингЕАД.

По изложените съображения Върховният административен съд, Пето отделение