Решение № 11300 от 20.11.2023 г. на ВАС по адм. д. № 1422/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационната жалба на Кюб Тийм ЕООД, чрез процесуален представител адв. Бузалов, срещу решение 7230 от 30.11.2022 г., постановено по адм. дело 6817/2022г. на Административен съд София град /АССГ/, с което е отхвърлена жалбата му срещу Решение ППН-01-534/2021/09.05.2022г. на Комисия за защита на личните данни /КЗЛД/. Касационният жалбоподател обжалва съдебното решение като неправилно, поради съществени нарушения на съдопроизводствените правила и необоснованост касационно основание за отмяна по чл. 209, т. 3 АПК. По подробно развити доводи, иска отмяната му и присъждане на сторените съдебни разноски за двете съдебни инстанции, съгласно представен списък. Ответната страна Комисия за защита на личните данни, чрез процесуален представител в писмено становище оспорва касационната жалба, като неоснователна, респективно моли да бъде оставена без уважение, а обжалваното решение потвърдено като правилно. Претендира разноски за юрисконсултско възнаграждение, като в условията на евентуалност прави възражение за прекомерност на претендираното от касатора адвокатско такова. Ответната страна Б. Чаушев не изразява становище по касационната жалба. Представителят на Върховна административна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. Разгледана по същество касационната жалба е неоснователна. Предмет на съдебен контрол за законосъобразност пред АССГ е Решение ППН-01-534/2021/09.05.2022г. на КЗЛД, с което Комисията е установила, че е налице неправомерно обработване на личните данни на Б. Чаушев от страна на Кюб Тийм ЕООД , обективирано в публикуването им на страницата на дружеството, с цел достъпването им от клиентите на последното. С оглед горното, на основание чл. 58, § 2, от Регламент (ЕС) 2016/679, Комисията е обявила жалбата, с която е сезиран за основателна и за нарушение на чл. 5, §1, буква б от Регламента е издала разпореждане на администратора " Кюб Тийм" ЕООД, да преустанови обработването на личните данни на Чаушев и да ги заличи. За да постанови решението си АССГ е приел, че оспореният пред него административен акт е издаден от компетентен орган, в предписаната от закона форма и при липса на допуснати съществени нарушения на процесуалните правила. Първоинстанционният съд е приел, че в случая е налице незаконосъобразно обработване на личните данни на ответника по касация Б. Чаушев, като е заключил, че е безспорно установено, че същите фигурират и са достъпни в сайта на дружеството - www.conripany.guru, което с оглед липсата на предпоставките по чл. 6, § 1, букви а - е, представлява нарушение на принципите, залегнали с нормата на чл. 5, § 1, б. б от Регламента, респективно е отхвърлил жалбата на дружеството. Решението е правилно. Първоинстанционният съд при събрани всички относими към спора доказателства е установил правилно фактическата обстановка по спора, а именно, че КЗЛД е сезирана с жалба от Б. Чаушев с твърдения за неправомерно обработване на личните му данни от страна на касатора "Кюб Тийм" ЕООД. Не е спорно по делото и, че посочените от лицето лични данни са били предоставени от Чаушев за целите на Регистър Булстат в обем : три имена, ЕГН, телефонен номер и точен адрес със заявление по чл.3, ал.1, т.9 или осигурител по чл.3, ал.1 ,т.11 от ЗРБ, като дейности на застрахователни брокери и агенти и данните са били публично оповестени за целите на регистъра, поради което и доводите на КЗЛД в оспореното решение, споделени и от първоинстанционният съд, че достъпването на тези данни от "Кюб Тийм" ЕООД чрез Регистър Булстат е законосъобразно, поради общодостъпност на информацията в публичната част от регистъра са правилни. Не така стои въпросът обаче по отношение обработването на тези лични данни в сайта на дружеството и разпространението им в интернет пространството. По делото не е било спорно между страните, че достъпените от дружеството данни от Регистър Булстат фигурират и са достъпни на сайта www.compani.duru, поддържан от същото, както и, че физическото лице не е предоставяло съгласието си, личните му данни да бъдат обработвани за целите на попълване на публична база данни на дружеството. В тази връзка изводите на Комисията и АССГ, че последващата обработка на данните от страна на дружеството, чрез публикуването им , без наличие на условия за това обработване по смисъла на чл.6, §1, б "а" - "е" от Регламента е неправомерна и представлява нарушение на чл.5, §1, б "б" от Регламента се споделят от настоящата съдебна инстанция. Съгласно чл. 4, § 2 от Регламент (ЕС) 2016/679 обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Според дефиницията в чл. 4, § 7 от Регламент (ЕС) 2016/679 администратор означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. До изменението на ЗЗЛД обн. ДВ, бр. 17/26.02.2019 г. националното ни законодателство предвижда регистрационен режим за администраторите на лични данни чл. 17 и сл. от ЗЗЛД с редактирано съдържание към настоящия момент, в който липсва подобно изискване, а е налице само препращане към дефиницията от регламента (§ 1, т. 2 от допълнителните разпоредби на ЗЗЛД). При анализа на тези норми се налага извод, че и по отношение на администратора на лични данни е необходимо да съществува легитимно основание за обработване на лични данни на физически лица, а това право не възниква за тях само в резултат от качеството им на администратори по отношение на неограничени по вид и обем лични данни. В чл. 6, § 1, б. а -е от Регламент (ЕС) 2016/679 са изброени основанията за законосъобразно обработване, а именно само ако и доколкото е приложимо поне едно от следните условия: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по- специално когато субектът на данните е дете. По делото няма твърдения, че субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели както и наличие на договор, по който субектът на данните е страна или обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице. Липсва позоваване и на съществуващо законово задължение, което се прилага спрямо касатора и за спазването му е необходимо обработване на лични данни на физическото лице. По изложените съображения настоящият съдебен състав намира, че не са налице условията на чл. 6, § 1, б. а, б, в и г от Регламент (ЕС)2016/679 за законосъобразно обработване на лични данни, чрез публикуването им и разпространяване в сайта на дружеството и достъпването им от клиенти на същото. АССГ обосновано е посочил, че обстоятелството, че Чаушев е осъществил действия по регистрация в Регистър БУЛСТАТ, които са публично оповестени за целите на регистъра, т.е. действията му са породени от неговата лична воля и съгласие, не обективира последвалото им обработване от трети лица /Кюб Тийм ЕООД/, като законосъобразно и допустимо. За дружеството касатор липсва, законово основание и с последвалото обработване на данните с цел структуриране на база данни в сайта на касатора е допуснато нарушение на основните принципи на законосъобразност и добросъвестност, залегнали в разпоредбата на чл. 5, § 1, б. б от Регламента, в какъвто смисъл е и заключението на административния съд. Неоснователни са наведените в касационната жалба оплаквания за допуснати от от съда съществени нарушения на съдопроизводствените правила. Безспорно в решението си съдът не е обсъдил в пълнота наведените в първоначалната жалба доводи за липсата на допуснато нарушение от дружеството, но доколкото същите не се отразяват на постановения с решението краен правен резултат, настоящата съдебна инстанция счита същите за несъществени. Несподелима е тезата на касатора, че представената информация не представлява лични данни по смисъла на Регламента, а информация за стопански субект. Както е посочил в решението си АССГ в разпоредбата на чл.4, §1 от Регламента е дадено легално определение на понятието "лични данни" и в обобщение това е информацията, свързана с идентифицирано физическо лице, или субект на данни, физическо лице, което може да бъде идентифицирано, пряко или непряко, специално като идентификатор като име и др. или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. В тази връзка обстоятелството, че физическото лице е предоставило данни в обем: три имена, ЕГН, телефонен номер и точен адрес във връзка с осъществяване от него дейност на Агенцията по вписвания, Регистър Булстат и в изпълнение на законови задължения, не лишава тези данни от характеристиките, включени в понятието лични данни, посочени по - горе, след като е безспорно, че по тези данни физическото лицето е идентифицирано или може да бъде идентифицирано, още по малко е основание предоставените от това лице данни за законово регламентирани и конкретни цели на конкретен администратор - Агенцията по вписвания да бъдат обработвани впоследствие от друг администратор, в случая касатора, без наличието на условия за обработване по смисъла на чл.6, §1,б "а" - "е" от Регламента. Нарушението на правото на защита на личните данни е нарушение на лично субективно право. Съгласно изрично посоченото в съображение 27 на Регламент 2016/679 нормативната уредба на защитата на личните данни гарантира неприкосновеността на личността и личния живот. Неоснователно е и оплакването в жалбата, че кодът с който физическите лица вписани в Регистър Булстат се идентифицират, е бил посочван и именуван само и единствено като ЕИК и този код не може да се приеме, че представлява лични данни. В оспореното пред АССГ решение на КЗЛД, чиито мотиви са споделени от първостепенният съд, детайлно са анализирани настъпилите законодателни промени в Закона за регистър Булстат именно с цел хармонизиране на българското законодателство с принципите заложени в Регламент (ЕС) 2016/679, относно защитата на физическите лица. Обстоятелството, че с предвидените промени, кодът по Булстат на физическите лица, който към момента на подаване на жалбата съвпада с ЕГН на физическото лице е преобразуван от 10 - значен в 9 - значен код , не може да обоснове извод за законосъобразно за касатора последващо обработване, без наличието на условията по смисъла на чл.6, §1, б "а" -"е" от Регламента. Както е прието и от страна на КЗЛД и от първоинстанционният съд, за дружеството съществува възможност за достъп до тези данни в публичната част на Регистър Булстат, но не и за тяхното обработване. Доводите за необоснованост на съдебното решение също са неоснователни. Тезата на касатора, че базата данни на дружеството е синхронизирана с информацията от публичните регистри и дори да е било налице незаконосъобразно обработване на лични данни от страна на "Кюб Тийм" ЕООД, то се дължи на грешка на законодателя, който е предвидил подобен вид данни да са публични е несъстоятелна. Както беше посочено по - горе в решението, данните са предоставени от физическото лице на Агенцията по вписвания, за която в качеството й на администратор на лични данни е налице условието по чл.6, §1, б "в" - обработването е необходимо за спазване на законово задължение, но по отношение на касатора това обстоятелство не е налице. Същият има право на достъп до тези данни, които са публични, но няма законово основание да ги обработва, без наличието на условията, посочени в чл.6, §1, б "а" - "е" от Регламента. По отношение на администратора на лични данни е необходимо да съществува легитимно основание за обработване на лични данни на физически лица, а това право не възниква за тях само в резултат от качеството им на администратори по отношение на неограничени по вид и обем лични данни. Такова легитимно основание не е доказано по делото. От изложеното до тук, се налага извод за правилност и законосъобразност на обжалваното пред касационната инстанция първоинстанционно решение. Същото, като постановено при отсъствие на касационни основания за отмяна, следва да бъде оставено в сила от настоящия съдебен състав. С оглед изхода на спора, на КЗЛД следва да бъде присъдено юрисконсултско възнаграждение в размер на 150 (сто и петдесет) лева на основание чл. 78, ал. 8 от ГПК, вр. чл. 37 от Закона за правната помощ, вр. чл. 24 от Наредбата за заплащането на правната помощ, предвид фактическата и правна сложност на делото. Воден от горното и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, пето отделение