Решение № 15583 от 16.12.2020 г. на ВАС по адм. д. № 7422/2020 г.

Решение № 15583 от 16.12.2020 г. на ВАС по адм. д. № 7422/2020 г., V о., докладчик съдията Галина Карагьозова Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Комисията за защита на личните данни (КЗЛД, Комисията), чрез процесуалния й представител юрисконсулт М. Асьова, против решение № 126 от 08.01.2020 г., постановено по адм. дело № 9237/2019 г. на Административен съд - София-град (АССГ), Второ отделение, 58 състав, в частта му, с която е отменено решение № ППН-01-671/2018 г. от 16.05.2019 г. на КЗЛД, в частта по т. 2, с която на основание чл. 83, § 5, б. "а" за нарушение на чл. 6, § 1 от Регламент (ЕС) 2016/679 за защита на физическите лица във връзка с обработването на лични данни и свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент за защита на данните, Регламента) на "А1 България" ЕАД е наложена имуществена санкция в размер на 20 000 лева и преписката е изпратена на КЗЛД за ново произнасяне в отменената част, в дадения 14-дневен срок и при съобразяване на указанията на съда по тълкуването и прилагането на закона. В касационната жалба са развити доводи за неправилност на решението в оспорената му част, поради необоснованост - отменително основание по чл. 209, т. 3 от АПК. Оспорва се изводът на съда, че КЗЛД не е изложила мотиви относно определения размер на санкцията, като се сочи, че са обсъдени всички посочени в чл. 83, § 2 от Регламента обстоятелства. Иска се отмяна на решението на съда в оспорената част и да бъда оставено в сила изцяло решението на КЗЛД. В писмена молба от 05.11.2020 г. касационната жалба се поддържа от процесуалния представител на КЗЛД К. Първанова, като се претендират разноски за касационната инстанция. Ответникът - "А 1 България" ЕАД, чрез процесуалния си представител юрисконсулт Ризов, изразява становище, че не оспорва касационната жалба на КЗЛД, с оглед искането за отмяна на решението на АССГ, но по доводи, че наложената да дружеството санкция е прекомерна. Иска намаляване на същата до минимално допустимия от закона размер. Дружеството да е подало касационна жалба против решението на АССГ. Ответницата - А. Аджемова не изразява становище по касационната жалба. Представителят на Върховната административна прокуратура дава заключение за основателност на касационната жалба. Счита съдебното решение за неправилно в оспорената част, тъй като в решението на КЗЛД се съдържат мотиви по обстоятелствата по чл. 83, § 2 от Регламента, независимо, че същите не са структурирани с изрично посочване на критериите по цитирания текст. Счита, че се налага отмяна на решението и връщане на делото за ново разглеждане, в хипотезата на чл. 222, ал. 2, т. 1 от АПК. Върховният административен съд, след като прецени данните по делото и доводите на страните, приема за установено следното: Касационната жалба е подадена от надлежна страна, против подлежащ на оспорване съдебен акт, който в оспорената част е неблагоприятен за нея, както и в рамките на преклузивния срок по чл. 211, ал. 1 от АПК, поради което е процесуално допустима. Разгледана по същество е основателна. Предмет на контрол в производството пред АССГ е решение на КЗЛД № ППН-01-671/2018 г. от 16.05.2019 г., с което по жалба на А. Аджемова, Комисията е приела че "А1 България" ЕАД, в качеството на администратор на лични данни е извършило нарушение по чл. 4 от Закона за защита наличните данни (ЗЗЛД), съответно на чл. 6, § 1 от Регламента за защита на личните данни, поради което е обявила жалбата на Аджемова за основателна (т. 1 от решението) и на основание чл. 58, § 2, б. "и" от Регламента е наложила на дружеството "А1 България" ЕАД, на основание чл. 83, § 5, б. "а", за нарушението по т. 1 имуществена санкция в размер на 20 000 лева (т. 2 от решението). Прието е, че данните на лицето са обработени без неговото съгласие, при липса на допустимост на обработването - подписване на приложение към договор за мобилни услуги. Съдът е събрал относимите за спора доказателства и вярно и точно е установил фактите по спора. Приел е за установено, че за времето от 03.12.2017 г. до 06.05.2018 г. Аджемова е била извън страната, като на 15.02.2018 г. в офис на "А1 България" ЕАД е сключен договор, като са използвани нейните лични данни, с които дружеството е разполагало по повод други договорни отношения с жалбоподателката. Договорът касае тарифни планове за мобилни услуги на посочен мобилен номер и е подписан от служител на дружеството, а като потребител е посочена жалбоподателката с всички лични данни и подпис, който безспорно е установено, че е фалшифициран - данни от образуваното ДП № 15343/2018 г. по описа на СДВР и пр. пр. № 45768/2018 г. на СРП, както и от назначената в рамките на производството пред КЗЛД почеркова експертиза. При тези данни и след като е проследил и проведеното административно производство пред КЗЛД, съдът е приел, че решението на Комисията е постановено от компетентен орган, в рамките на правомощията й по чл. 38, ал. 3 от ЗЗЛД, с изискуемото мнозинство (единодушно) от членовете на органа, съгласно чл. 9, ал. 3 от ЗЗЛД. Съдът е посочил, че процесното нарушение е извършено на 15.02.2018 г., към който момент е действал ЗЗЛД, като към момента на постановяване на решението е действала редакцията на закона от ДВ, бр. 17/2019 г., като съгласно § 44, ал. 1 от ПЗР към ЗИД на ЗЗЛД, ДВ, бр. 17/2019 г. образуваните до 25.05.2018 г. и неприключили производства за нарушения на закона се довършват по досегашния ред. Процесното производство пред КЗЛД е образувано на 13.08.2018 г., поради което правилно е довършено по ЗЗЛД, като Комисията се е произнесла съгласно чл. 38, ал. 3 от ЗЗЛД, в който случай може да наложи мерките по чл. 58, § 2, букви от "а" до "з" и "й" от Регламента и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламента. Съдът е приел, че безспорно дружеството е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента, налице е обработване на лични данни, без наличие на правно основание затова. Жалбоподателката не е дала съгласие за обработването на личните й данни, като правилно е прието от административния орган, че същото е незаконосъобразно, тъй като не е приложимо нито едно от условията по чл. 6, § 1, букви от "а" до "е" от Регламента. Съдът е приел, че правилно в т. 1 от оспореното решение на КЗЛД е прието извършване на нарушение, съответно е прието, че жалбата е основателна, като материалния закон е приложен правилно. (В тази част решението на съда е влязло в сила.) По отношение т. 2 от решението, съдът е посочил, че санкцията е наложена на основание чл. 83, § 5, б. "а", във вр. с чл. 58, § 2, б. "и" от Регламента, като органът се е обосновал защо налага имуществена санкция вместо някоя от другите предвидени мерки. Що се касае до размера на санкцията обаче, съдът е приел, че когато се взема решение за налагане на административно наказание "глоба" или "имуществена санкция", във всеки конкретен случай следва да бъдат разгледани всички елементи, визирани в нормата на чл. 83, § 2, букви от "а" до "к", а КЗЛД е определила размера на санкцията без надлежно да изследва обстоятелствата по чл. 83, § 2 от Регламента. Съдът е счел, че липсата на мотиви за тези обстоятелства е довела до нарушаване на правата на жалбоподателя в административното производство и е пречка за осъществяването на съдебен контрол. Посоченото налага извод за отмяна на решението на КЗЛД, в частта, касаеща наложената санкция - т. 2 от решението, като е приел, че в тази част делото като преписка следва да се върне на КЗЛД за ново произнасяне в отменената част в дадения срок и при спазване на указанията по тълкуването и приложението на закона. По тези съображения съдът е постановил оспорения понастоящем резултат - отмяна на решението на КЗЛД в частта по т. 2 от същото. Така постановеното решение е неправилно в оспорената част, с която решението на КЗЛД по отношение т. 2 е отменено и делото е върнато за ново разглеждане. Изводът на решаващия съд, че КЗЛД е определила размера на наложената санкция, без да обсъди обстоятелствата по чл. 83, § 2 от Регламента е необоснован, тъй като не се подкрепя от данните по делото. Видно от текста на оспореното решение на КЗЛД, в същото подробно са обсъдени всички релевантни обстоятелства, посочени в нормата на чл. 83, § 2 от Регламента, независимо че не е посочено, кое обстоятелство към кой от фактическите състави на съответните букви на нормата на чл. 83, § 2 от Регламента е относимо. Съгласно чл. 83, § 2, б. "а" от Регламента следва да бъде отчетено естеството, тежестта и продължителността на нарушението, като се вземе предвид естеството, обхватът или целта на съответното обработване, както и броят на засегнатите субекти на данни и степента на причинената им вреда. В решението на КЗЛД е посочено, че обработването е от страна на администратор, като е осъществено без правно основание, чрез подписване на договор за две години за предоставяне на услуга за конкретен номер, т. е. с търговска цел и е довършено и неотстранимо. Нормата на б. "б" изисква да се отчете, дали нарушението е извършено умишлено или по небрежност, което е неотносимо за юридическото лице, поради което правилно липсва обсъждане. Буква "в" изисква да се отчетат действията, предприети от администратора или обработващия личните данни за смекчаване на последиците от вредите, претърпени от субектите на данни В решението изрично е посочено, че администраторът, по повод на жалби на лицето, чиито лични данни са обработени, е отговарял с бланкетни отговори, три месеца преди подаване на жалбата до КЗЛД, т. е. не е предприел своевременно мерки за предотвратяване на нарушението и последиците от него. Администраторът всячески се е стремял да избегне отговорност, твърдейки, че не може да отговаря за деяние, което осъществява състав на престъпление. Буква "г" изисква да се разгледа като елемент степента на отговорност на администратора или обработващия лични данни като се вземат предвид техническите и организационни мерки, въведени в съответствие с членове 25 и 32 от Регламента. В решението този елемент е обсъден като е посочено, че предприетите технически и организационни мерки при сключване на договори от служители на "А1 България" ЕАД не са били в състояние да предотвратят нарушението. Съгласно б. "д" се отчита като елемент наличието на евентуални свързани предишни нарушения, извършени от администратора или обработващия лични данни, като в случая е отчетено, че нарушението не е първо за този администратор. По буква "е" се отчита степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него. В решението на Комисията е посочено, че нарушението е довършено, като на практика липсва дейност, която би довела до смекчаване на евентуалните последици, като органът се е съобразил с насоките, дадени от работна група 29, като също е отчетено, че в резултат на намесата на администратора отрицателните последици са се проявили за жалбоподателката. Съгласно изискването на б. "ж" в административния акт е отчетено, кои са категориите лични данни, засегнати от нарушението - трите имена на жалбоподателката и ЕГН на същата, които категорично и пряко я идентифицират. Отчетен е и елементът по б. "з", съгласно който следва да се вземе предвид начина, по който нарушението е станало известно на надзорния орган, по-специално дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението. Същото е станало известно едва след подаване на жалбата от жалбоподателката, т. е. администраторът не е уведомил органа. Съображенията на работна група 29 в този смисъл са, че неспазването на това задължение, дължащо се на неадекватна оценка на степента на нарушението от нарушителят може да обуслови по-сериозна санкция. В случая в решението е отчетена само липсата на уведомяване. Дължимият за отчитане елемент по буква "и" касае дали на засегнатия администратор или обработващ лични данни преди са налагани мерки, посочени в член 58, § 2, във връзка със същия предмет на обработването и дали посочените мерки са спазени, като в случая този елемент е неприложим поради липса на данни за налагане на такива мерки, съответно не е обсъждан в решението. Аналогично е и положението с елемента по б. "й", доколкото липсва одобрен кодекс на поведението, съответно липсва възможност за преценка за придържането към одобрени кодекси на поведение съгласно член 40 или одобрени механизми за сертифициране съгласно член 42, поради което в решението няма обсъждане. Според б. "к" се отчитат всякакви други утежняващи или смекчаващи фактори, приложими към обстоятелствата по случая, като пряко или косвено реализирани финансови ползи или избегнати загуби вследствие на нарушението., като в случая такива са отчетени, тъй като за жалбоподателката са настъпили неблагоприятни финансови последици - същата е била принудена да заплаща суми по договор, за който липсва съгласие за сключване. При тези данни, следва изводът, че неправилно съдът е приел, че административният орган - КЗЛД в решението си не е спазил изискванията на чл. 83, § 2 от Регламента, като не е обсъдил визираните в нормата обстоятелства. Същите са обсъдени в достатъчна степен, като в решението се съдържат мотиви по елементите от нормата, макар и същите да не структурирани строго по последователността на буквите, съдържащи критериите по чл. 83, § 2 от Регламента. Изводът на решаващия съд е необоснован като несъответен на данните в делото и изграден при неправилно приложение на материалния закон, съответно постановеното решение, в отменителната му част е неправилно и следва да бъде отменено. Делото е изяснено от фактическа страна, както и не са допуснати съществено процесуални нарушения при постановяването на решението на първоинстанционния съд, поради което след отмяната му, при наличие на отменително основание - необоснованост и неправилно приложение на материалния закон, в частта му, с която е отменено решение № ППН-01-671/2018 г. от 16.05.2019 г. на КЗЛД, в частта по т. 2, с която на основание чл. 83, § 5, б. "а" за нарушение на чл. 6, § 1 от Регламента на "А1 България" ЕАД е наложена имуществена санкция в размер на 20 000 лева и преписката е изпратена на КЗЛД за ново произнасяне в отменената част, касационната инстанция следва да се произнесе по същество. Следва да бъде отхвърлена жалбата на "А1 България" ЕАД против решението на КЗЛД и в частта по т. 2, тъй като същото не страда от пороци по чл. 146 от АПК, налагащи отмяната му. С оглед изхода на делото е основателна претенцията на касатора - КЗЛД, за присъждане на разноски за настоящото производство за юрисконсултско възнаграждение, които следва да бъдат определени на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ на 100 лева, като се осъди "А1 България" ЕАД да ги заплати. По изложените съображения и на основание чл. 221, ал. 2, предл. второ и чл. 222, ал. 1 от АПК, Върховният административен съд, пето отделение,