Решение № 8738 от 20.7.2021 г. на ВАС по адм. д. № 8410/2020 г.

Производството е по реда на чл.208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на Комисия за защита на личните данни, чрез процесуалния представител К. Първанова, служител с юридическо образование, срещу решение 1748 от 11.03.2020 г. по адм.дело 60 по описа за 2020 г. на Административен съд - София град (АССГ) в частта му, с която е отменено нейно решение ППН-01-458/2018 от 04.10.2019 г. по повод наложени имуществени санкции и преписката е върната за ново произнасяне.

Образувано е и по касационна жалба на "Теленор България" ЕАД, чрез процесуалния представител П. Гиздашка, служител с юридическо образование, срещу решение 1748 от 11.03.2020 г. по адм.дело 60 по описа за 2020 г. на Административен съд - София град в частта, с която е отхвърлена жалбата срещу решение ППН-01-458/2018 от 04.10.2019 г. на Комисия за защита на личните данни (КЗЛД), така и в тази част от това съдебно решение, с което решението на КЗЛД е отменено по повод наложени имуществени санкции и преписката е върната за ново произнасяне.

В първата касационна жалба са изложени съображения за неправилност на обжалваното решение в посочената част, като постановено в нарушение на материалния и процесуалния закони, което съставлява отменително касационно основание по чл.209, т.3 от АПК. Иска се да бъде отменено решението в посочената част и се постанови друго с отхвърляне жалбите срещу решението на КЗЛД и в посочената част по повод наложени имуществени санкции. Не се претендира присъждане на съдебни разноски.

Във втората касационна жалба са изложени съображения за неправилност на обжалваното решение, като постановено в нарушение на материалния и процесуалния закони, което съставлява отменително касационно основание по чл.209, т.3 от АПК. Иска се отмяна на съдебното решение по повод оспорването на решение ППН-01-458/2018 от 04.10.2019 г. на КЗЛД както в частта, в която съдът е приел, че този акт е материалнозаконосъобразен и го е оставил в сила, така и в частта на съдебното решение, в която това решение на КЗЛД е отменено по повод наложени имуществени санкции. В условия на алтернативност иска да се отмени изцяло съдебното решение и делото се върне за ново разглеждане от друг съдебен състав на АССГ. В съдебно заседание от 11.11.2020 г. процесуалният представител заявява, че оспорва касационната жалба на КЗЛД. Не претендира присъждане на съдебни разноски.

Ответната страна по касационните жалби - "Табако Трейд" ООД оспорва касационните жалби чрез депозирано становище по реда на чл.213а от АПК на адв.Д. Смиленова. Представя се и писмена защита. Претендира присъждане на съдебни разноски и представя списък по чл.80 от ГПК, във връзка с чл.144 от АПК, както и договор за правна защита и съдействие, и банково извлечение.

Ответната страна по касационните жалби - "Табако Трейд Стара Загора" ООД оспорва касационните жалби чрез депозирано становище по реда на чл.213а от АПК на адв.Д. Смиленова. Представя се и писмена защита. Претендира присъждане на съдебни разноски и представя списък по чл.80 от ГПК, във връзка с чл.144 от АПК, както и договор за правна защита и съдействие, и банково извлечение.

Ответната страна по касационните жалби - Р. Стоянова не изразява становище по тях.

Ответната страна по касационните жалби "Руския А75" ЕООД не ангажира становище по тя.

Представителят на Върховна административна прокуратура дава заключение за неоснователност на касационната жалба на Комисията за защита на личните данни срещу съдебното решение, в частта му, с която е отменено нейно решение ППН-01-458/2018 от 04.10.2019 г. по повод наложени имуществени санкции. По повод касационната жалба на "Теленор България" ЕАД срещу решението, с което е отменен административния акт относно наложената имуществена санкция и делото е върнато като преписка за ново произнасяне, счита, че тя е недопустима, поради липса на правен интерес и невъзможност да бъде обжалван диспозитив "връща за ново произнасяне". По повод касационната жалба на този втори касационен жалбоподател срещу другата част от съдебното решение, при което административният акт е оставен в сила като материално незаконосъобразен, посочва, че тя е неоснователна.

Върховният административен съд, пето отделение, след като прецени допустимостта на касационната жалба и наведеното отменително основание, и с оглед на чл.218 от АПК, приема за установено следното от фактическа и правна страна:

Касационната жалба на Комисията за защита на личните данни е процесуално допустима като подадена в срок и от надлежна страна, а разгледана по същество е основателна.

Касационната жалба на "Теленор България" ЕАД е процесуално допустима като подадена в срок и от надлежна страна, а разгледана по същество е неоснователна по повод оспорване на решението в частта, с която е прието, че административният акт е материалнозаконосъобразен. В частта на жалбата, с която се иска отмяна на съдебното решение в частта, с която е отмено решението на КЗЛД по повод наложени имуществени санкции е процесуално недопустима, поради липса на правен интерес.

Предмет на съдебен контрол в производството пред административния съд - София град е било решение ППН-01-458/2018 от 04.10.2019 г. на Комисията за защита на личните данни. Производството пред нея е започнало по жалба на Р. Стоянова с рег. ППН-01-458 от 15.06.2018 г. с твърдения за злоупотреба с личните й данни. Конкретно е посочила, че на 10.05.2018 г. е била извикана в 01 РУ на МВР - Стара Загора, където е научила, че на нейно име са регистрирани десет предплатени сим карти за ползване на мобилни телефонни услуги, предлагани от "Теленор България" ЕАД. Посочва, че е закупила и ползва само две предплатени карти от този мобилен оператор, с конкретно цитирани номера, като е твърдяла, че е злоупотребено с личните й данни по повод регистрирането на останалите осем карти, с конкретно посочени номера. Информирала е мобилният оператор, като е подала жалба на 18.08.2018 г. и със съдействието на полицията са спрени изходящите обаждания от девет от картите.

Страни в административното производство пред КЗЛД са били жалбоподателката Р. Стоянова, мобилният оператор "Теленор България" ЕАД; "Табако Трейд" ООД, на което дружество операторът е продал осем карти по силата на рамков договор за дистрибуция на предплатени услуги от 27.05.2015 г., (фактура 410033353/04.07.2017 г.); "Табако Трейд Стара Загора" ООД, на което дружество по силата на договор за дистрибуция на стоки от 25.03.2012 г. са препродадени тези карти, както и "Руския А75" ЕООД, на което същите са препрепродадени и което дружество е осъществило продажбата на осемте предплатени карти. Административният орган е приел, че жалбата е процесуално допустима и основателна. На основание чл.38, ал.3 от Закон за защита на личните данни (ЗЗЛД) и

• на основание чл.83, § 5, б."а", във връзка с чл.58, § 2 от Регламент (ЕС) 2016/679 налага на "Теленор България" ЕАД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 100 000.00 лв., за обработване на лични данни на лицето, в нарушение на чл.2, ал.2, т.1 от ЗЗЛД (отм.), респ. чл.5, § 1, б."а" от Регламента;

• на основание чл.83, § 5, б."а", във връзка с чл.58, § 2 от Регламент (ЕС) 2016/679 налага на "Табако Трейд" ООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 50 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл.4, ал.1 от ЗЗЛД (отм.), респ. чл.6, § 1 от Регламента;

• на основание чл.83, § 5, б."а", във връзка с чл.58, § 2 от Регламент (ЕС) 2016/679 налага на "Табако Трейд Стара Загора" ООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 50 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл.4, ал.1 от ЗЗЛД (отм.), респ. чл.6, § 1 от Регламента;

• на основание чл.83, § 5, б."а", във връзка с чл.58, § 2 от Регламент (ЕС) 2016/679 налага на "Руския А75" ЕООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 35 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл.4, ал.1 от ЗЗЛД (отм.), респ. чл.6, § 1 от Регламента.

В производството пред административния съд - София град като страни са участвали жалбоподателите "Теленор България" ЕАД, "Табако Трейд" ООД, "Табако Трейд Стара Загора" ООД и "Руския А 75" ЕООД, а ответник е КЗЛД.

В мотивите на съдебното решение подробно е обсъдена фактическата обстановка по спора, като е прието за безспорно, че на името на Р. Стоянова са били регистрирани общо десет предплатени карти за ползване на предлагани от "Теленор България" ЕАД предплатени услуги, като за две от картите лицето е подало искане и съгласие за обработване на лични данни. Не е спорно и че в базата данни на този оператор се съхраняват личните данни на това лице (трите имена, единен граждански номер и дата на раждане) по смисъла на чл.4, § 1 от Регламент 2016/679, понеже е абонат на същия. Не се оспорва, също, че тези данни са използвани и съхранявани в периода от 18.09.2017 г. (датата на регистрация на картите в системата ИПОС) до 05.10.2018 г. (датата на представяне на справка от електр.база данни), въпреки деактивирането на картите, осъществено през м.май 2018 г. В административното и в съдебното производства дружеството - оператор не е ангажирало доказателства за наличието на договорни отношения по повод регистрираните осем предплатени карти с лицето, както и такива относно дадено от него съгласие по смисъла на чл.4, ал.1, т.3 от ЗЗЛД (отм.), респ. на чл.6, § 1, б."а." от Регламент 2016/679. Не се оспорва фактът, че тези данни са събрани от "Руския А 75" ЕООД и са регистрирани от него посредство колцентъра на "Теленор България" ЕАД. Не е бил спорен и фактът, че на "Руския А 75" ЕООД е предоставено устройство за регистриране и активиране на предплатените карти, както и че това дружество, след като е предоставяло карти на краен потребител, е следвало да попълва регистрационните карти със съответни задължителни реквизити относно абоната и да предава същите назад по веригата до оператора, предоставящ услугата и то не е осъществило това. Не са налице регистрационни карти, като въпреки направеното от лицето възражение търговското дружество - оператор е продължило да използва неговите лични данни и след подаване на жалба до него. Не се оспорват и фактите по повод сключените договори между изброените търговски дружества и тяхното съдържание.

Административният съд е приел, че административният акт е издаден от компетентен орган, както и че са спазени изискванията за форма и съдържание на акта, като не са допуснати съществени нарушения на административнопроизводствените правила. Отграничил е кои нарушения на тези правила са съществени, като такива не се констатират и подробно е обсъдил възражението на жалбоподателя "Руския А 75" ЕООД по повод твърдението му, че не е уведомен за започналото административно производство.

По повод обсъждането на доводите за материална незаконосъобразност на оспорения акт се е позовал на чл.288, ал.2 от ДФЕС, с оглед характера и приложимостта на регламентите и конкретно на Регламент (ЕС) 2016/679 на Европейския парламент и на съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на директива 95/46/ЕО, който влиза в сила в 12-дневен срок от обнародването му в официалния вестник на ЕС (обн., L,OB, бр.119 от 04.05.2016 г.), като съгласно чл.99, § 2 от него се прилага от 25.05.2018 г. Приел е с оглед на тези съображения за влизане в сила на посочения регламент и датата на прилагането му, че при издаване на обжалваното решение КЗЛД правилно и обосновано е осъществявала всичките си процесуални действия, вкл. прилагане на съответните правни разпоредби от него. Аргументира се и цитира съдебна практика на Съда на ЕС. Направил е извод, че в случаите когато процесното деяние представлява нарушение по национален закон и нарушение по регламент на ЕС, който е влязъл в сила към датата на извършване на деянието (18.09.2017 г.), но за който е определена дата да се прилага едва след датата на нарушението, националният орган следва да приложи националния материален закон във връзка с нарушението, но да тълкува националната разпоредба в съответствие с разпоредбата на Регламента, независимо, че същият се прилага едва след извършване на нарушението. Приема също, че когато едно деяние представлява нарушение по националния закон по време на извършването, но преди да се прилага европейския законодателен акт, който предвижда същото нарушение, да се наложи санкция по разпоредбите на последния (Регламента), когато към момента на нейното налагане, в същият е предвидено да се прилага и е влязъл в сила. Според съда деяние, което е продължило достатъчно дълго и което обхваща периода след определената дата за приложение на Регламента, може да бъде квалифицирано по него, както е в процесния случай. Това е и първият спорен момент по делото, който рефлектира върху преценката за основателността на първата касационна жалба, както и на втората касационна жалба, с оглед на обжалването с нея на съдебното решение във връзка с твърдяното от този касатор нарушаване на материалния закон.

Съгласно чл.1, ал.1 от Закон за защита на личните данни (обн., ДВ, бр.1 от 4.01.2002 г., в сила от 01.01.2002 г., ред. доп., ДВ, бр.81/2011 г.) този закон урежда защитата на правата на физическите лица при обработването на личните им данни С влизане в сила на Регламент (ЕС) 2016/679, считано от 25.05.2018 г., именно неговите разпоредби стават основният източник на правна регламентация в сферата на защита правата на лицата при обработването на техните лични данни и достъпа до тези данни в рамките на Европейския съюз. В тази връзка следва да се съобрази, че Регламентът е акт с общо приложение, той е задължителен в своята цялост и се прилага пряко във всички държави членки, като за пораждане на правното му действие не е необходимо транспонирането му във вътрешното право посредством приемането на изричен акт или мярка. Следователно, от деня на влизането си в сила Регламентът е станал действащо право в Република България и неговите разпоредби са започнали да уреждат пряко и непосредствено съответните обществени отношения. С оглед на това, независимо дали към този момент националният законодател е предприел някакви промени, свързани с уредбата в Регламента, последният проявява своето правно действие от деня на влизането си в сила и от този момент следва задължително да бъде съобразяван от административните органи и от съда при разрешаването на съответните спорове (виж решение 4238 от 13.04.2020 г. по адм.дело 12170 по описа за 2019 г. на настоящия състав на пето отделение на ВАС). С оглед на изложеното, следва да се приеме, че регламентът, чиито разпоредби са приети за нарушени в обстоятелствената част и диспозитива на решението на КЗЛД, е действащо право в Република България, както и в останалите държави членки на ЕС, считано от 25.05.2018 г., съгласно чл. 99, § 2 от същия. Липсва изрично правилно за придаване на обратно действие на закрепените в него материалноправни норми. Поради това следва да се счита за несъмнено положението, че Регламентът намира приложение спрямо онези юридически факти, визирани в неговите норми, които са настъпили след влизането му в сила или продължават своето проявление в действителността и след влизането му в сила. Такъв именно е и настоящият случай, в който се установява, че макар и да е извършено обработване на лични данни без съгласието на лицето на 18.09.2017 г. и това е продължило и след деактивиране на предплатените сим карти през м.май 2018 г., личните данни на лицето продължават да се обработват от администратора в хипотезата на съхранение и употреба от мобилния оператор до 05.10.2018 г., т.е. неправомерното обработване на данните на Р. Стоянова е било продължаващо към момента на влизане в сила на Регламента.

Основен принцип в правото е, че за да се приеме едно деяние за нарушение, то следва да е обявено за такова с действаща към момента на извършването му правна норма, която да е приета за нарушена. В конкретния случай, изпълнителното деяние, довело до неправомерно обработване на личните данни на Р. Стоянова, е започнало 18.09.2017 г. (когато по отношение на защитата на правата на физическите лица при обработване на личните им данни действаща е единствено уредбата на ЗЗЛД (ред., ДВ, бр. 81 от 14.10.2016 г.) и е продължило и след датата 25.05.2018 г., датата от която Регламента се прилага, съгласно чл.99, § 2 от него. Поради това следва да се съобразяват и прилагат действащите към момента на извършване на нарушението материалноправни разпоредби, а именно прилагането едновременно на тези уредени в ЗЗЛД (в приложимата редакция) и тези в Регламента. В този смисъл е и последвалото изменение на българската законова уредба, съгласно чл.1,( ред. ДВ, бр.17 от 2019 г.) от ЗЗЛД.