Решение № 3764 от 28.03.2017 г. на ВАС по адм. д. № 401/2016 г.

Решение № 3764 от 28.03.2017 г. на ВАС по адм. д. № 401/2016 г., V о., докладчик председателят Марина Михайлова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационни жалби на Комисия за защита на личните данни и "Ф. И." ЕАД, със седалище и адрес на управление град С. против решение № 6346/22.10.2015 г., постановено по адм. дело № 2871/2015 г. на Административен съд С. - град /АССГ/. Оплакванията в касационните жалби са за неправилност на решението, като необосновано, постановено в противоречие с материалния закон и съществени нарушения на съдопроизводствените правила - отменителни основания по чл. 209, т. 3 АПК. Касационният жалбоподател - Комисия за защита на личните данни /КЗЛД/ оспорва решението в частта, в която е отменено решението й по т. 3 и 4. Касационният жалбоподател - "Ф. И." ЕАД оспорва решението в частта по т. 3 и в частта, в която е отхвърлена жалбата му срещу т. 5 от решението на КЗЛД. Ответницата - Л. Ш. С. не изразява становище. След приключване на съдебното заседание пълномощникът й адв. Колев е депозирал писмено становище за неоснователност на касационните жалби. Представителят на Върховната административна прокуратура дава заключение за неоснователност на касационната жалба и правилност на оспореното решение. Като взе предвид изложеното в касационната жалба и данните по делото настоящият състав на Върховния административен съд, констатира следното: Касационните жалби са подадени в срока по чл. 211, ал. 1 от АПК и от страни, за която съдебният акт е неблагоприятен, поради което са допустими. Разгледани по същество, касационните жалби са ОСНОВАТЕЛНИ. С оспореното пред АССГ решение е отменено решение № Ж-842/4.02.2015 г. на Комисията за защита на личните данни /КЗЛД/, в частта му по т. 3 относно нарушението по чл. 4, ал. 1 от Закона за защита на личните данни/ЗЗЛД/, по т. 4, с която на "Ф. И." ЕАД е наложена имуществена санкция в размер на 13000 лева, за това, че в качеството му на администратор на лични данни обработва неправомерно личните данни на Л. Ш. С., което е нарушение по чл. 4, ал. 1 от Закона за защита на личните данни /ЗЗЛД/. Със същото решение е отхвърлена жалбата на "Ф. И." ЕАД срещу т. 5 от решението на КЗЛД, с която му е наложена имуществена санкция в размер на 4000 лева, за извършено нарушение по чл. 20, ал. 1 от ЗЗЛД. АССГ е приел, че решението на Комисията за защита на личните данни в оспорените му части по т. 3 и 4 е издадено от компетентния съгласно чл. 38 от ЗЗЛД, при спазване на изискванията за форма и на административнопроизводствените правила, но при неправилно приложение на материалния закон. Установено е по делото, че Л. Ш. С. е абонат на "БТК" ЕАД и е ползвала договорени с оператора услуги, като е дала изричното си съгласие оператора да обработва личните й данни. Не се спори между страните, че Самхат е имала задължения към БТК. Съгласно сключения договор за прехвърляне на вземания от 31.05.2014 г. "БТК" ЕАД е прехвърлила на "Ф. И." ЕАД пакет от вземания на свои длъжници, сред които е и Самхат. С пълномощно в изпълнение на т. 5 от договора БТК е упълномощила цесионера "Ф. И." ЕАД да уведоми длъжниците от името на БТК за извършената цесия, като изрично е предвидено, че цесионера няма право да преупълномощава трети лица. Това уведомление е подписано от изпълнителния директор на БТК. На 23.06.2014 г. и на 11.08.2014 г. изпращането на уведомления е възложено на "С. Д. С." ЕООД, с което "Ф. И." ЕАД има сключен договор за доставка на кореспонденция в градските и селски райони на страната чрез Български пощи или с куриер. С възлагането на поръчката "Ф. И." ЕАД е предоставил имената и адреса на Л. Ш. С. на "С. Д. С." ЕООД, като с обратна разписка от 25.08.2014 г. е удостоверено получаването на съобщението. КЗЛД е приела, че в конкретния случай "БТК" ЕАД има качеството обработващ лични данни по смисъла на § 1, т. 3 от ДР на ЗЗЛД, както и че "Ф. И." ЕАД притежава на собствено основание качеството администратор на лични данни, по смисъла на чл. 3 от ЗЗЛД. При тези фактически констатации КЗЛД е приела, че обработването на личните данни на Самхат от "Ф. И." ЕАД, е извършено при липса на условията, съдържащи се в нормата на чл. 4, ал. 1 ЗЗЛД. . Изложени са мотиви, че не е налице нормативно установено задължение на администратора на лични данни -"Ф. И." ЕАД да обработва личните данни на Л. С.. Посочено е, че изричното съгласие на физическото лице, за което данните се отнасят, е следващо условие за допустимост за обработване на личните й данни, като Самхат е изразила съгласие личните й данни да се обработват единствено от "БТК" ЕАД, не и от фирмите за събиране на вземания. Обсъдено е, че обработването на личните данни на Самхат не е необходимо и за изпълнение на задължения по договор, по който тя да е страна, тъй като не е подписвала договори и споразумения с "Ф. И." ЕАД. Изложени са съображения, че обработването на данните на Самхат не е необходимо и за упражняване на правомощия, предоставени със закон на администратора на лични данни. В заключение е формиран извод, че обработването на личните данни на Л. С. от страна на "Ф. И." ЕАД, е неправомерно. По отношение на твърдяното нарушение по чл. 20, ал. 1 от ЗЗЛД, КЗЛД е приела, че "Ф. И." ЕАД не е изпълнил задължението си да уведоми лицето, от което е получил личните му данни, за данните, които идентифицират администратора, целите на обработване на личните данни, категориите лични данни, отнасящи се до лицето; получателите или категориите получатели, на които могат да бъдат разкрити данните и информация за правото на достъп и правото на коригиране на събраните лични данни. Поради това КЗЛД е приела, че "Ф. И." ЕАД е нарушил разпоредбата на чл. 20, ал. 1 от ЗЗЛД, като му е наложила имуществена санкция в размер на 4000 лева. АССГ не е възприел правните изводи на КЗЛД по отношение на нарушението по чл. 4, ал. 1 от ЗЗЛД, като е обосновал правни изводи в насока, че юридическия факт, който прави допустимо обработването на личните данни, е прехвърлянето на вземането на трето лице, а не съобщаването на това обстоятелство на длъжника. От сключването на договора за цесия за администратор на личните данни е налице законен интерес, който обосновава обработването на личните данни на длъжника. Качеството, в което този субект обработва личните данни (като администратор или като обработващ) се установява след конкретно изследване на връзката между субекта и обработваните лични данни - ако субектът сам определя целите и средствата за това обработване, то тогава е осъществена хипотезата на чл. 4, ал. 1 ЗЗЛД и субектът има правното положение на администратор. В случай, че същият обработва лични данни, но не определя сам целите и средствата за това обработване, а обработва данните съобразно определените от друг субект цели и средства (администратор) от негово име, то тогава обработващият личните данни участва в правоотношението не като администратор, а като обработващ по смисъла на § 1, т. 3 ДР на ЗЗЛД. Поради това, макар че вписан като администратор на лични данни "Ф. И." ЕАД, в процесния случай е обработвал личните данни на Самхат в качеството на обработващ по смисъла на § 1, т. 3 от ДР на ЗЗЛД, доколкото е обработвал тези лични данни от името и за сметка на администратора на личните данни - "БТК" ЕАД. Поради това е отменил решението на КЗЛД в тази част - по т. 3 и 4. В частта, в която КЗЛД е приела наличие на нарушения по чл. 20, ал. 1 от ЗЗЛД, АССГ е приел законосъобразност на решението на КЗЛД, по съображения, че предоставянето на личните данни от "БТК" ЕАД на "Ф. И." ЕАД, не освобождава последния от задължението му да уведоми лицето за обработване на личните му данни от "Софт дата Сървисиз" ЕООД. Касационната инстанция намира така постановеното решение за неправилно във всички оспорени части. Личните данни на Самхат са обработени от "Ф. И." ЕАД, в нарушение на условията, предвидени в чл. 4, ал. 1 от закона. По силата на сключения договор между "БТК" ЕАД и Самхат индивидуален договор за предоставяне на телекомуникационни услуги, като по силата на общите условия, неразделна част от договора, абонатът дава съгласие личните й данни да бъдат предоставени от оператора на трето лице във връзка със събиране на задълженията по договора. С Рамков договор за събиране на вземания от 21.12.2009 г., "БТК" АД е възложило на "Ф. И." ЕАД вземанията по договори за услуги. На основание сключения договор последното дружество предприема действия по събиране на вземането на "БТК" ЕАД, като използва личните й данни. Няма спор по делото, че Самхат е била уведомена за сключения договор за цесия. При тези факти следва да се приеме, че личните данни на Л. С. са обработени от страна на "Ф. И." ЕАД в нарушение на изискванията на чл. 4, ал. 1 от ЗЗЛД. Съгласно цитираният текст обработването на лични данни е допустимо при наличие на някое от изброените условия, които в случая не са осъществени. В нарушение на чл. 4, ал. 1, т. 1, т. 4, т. 5, т. 6 и т. 7 обработването не е извършено в изпълнение на нормативно установено задължение на администратора, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закона, както и за реализиране на законни интереси на администратора, пред които интересите на физическото лице нямат приоритет. Не е налице и условието по чл. 4, ал. 1, т. 2 от ЗЗЛД. Съгласието, дадено от Самхат при сключване на договора с "БТК" ЕАД личните й данни да бъдат предоставени на трето лице за събиране вземанията по договора, овластява единствено мобилния оператор да предостави данните. Физическото лице, чието данни са обработени, няма сключен договор с нито едно от двете дружества и не е давало съгласие личните й данни да бъдат предоставени на трето лице Изложеното налага извода, че личните данни на Самхат са обработени от дружеството жалбоподател без да са изпълнени предвидените в нормата на чл. 4, ал. 1 от ЗЗЛД условия за това. Ето защо като достига до заключение, че от страна на дружеството не е допуснато нарушение на изискванията на цитирания текст и по тези съображения е отменил решението на Комисията за защита на личните данни в частта, в която такова нарушение е установено, съставът на Административен съд С. - град постановява акт в нарушение на нормативната уредба. Обстоятелството, че обработването на личните данни на Самхат е въз основа на сключен договор, не обоснова извод за законосъобразност на обработването, тъй като възложителят по договора не е имал основание да предостави данните на физическото лице за обработване на друг администратор, т. е. достъпът до данните е разрешен в нарушение на изискванията на чл. 2 и чл. 4 от ЗЗЛД . Да се приеме обратното, а именно, че всеки администратор на лични данни би могъл да ги предостави безпрепятствено на друг за обработване, би означавало да се осигури достъп на практически неограничен кръг лица до личните данни на абонатите на мобилни услуги, което е в противоречие с целта на закона - личните данни да се обработват от оторизирани лица при нормативно установени условия и цели. Възражението за необоснованост на съдебния акт също е основателно. Изводите на съдебния състав не съответстват на събраните доказателства. Липсата на доказателства за изрично съгласие съгласно чл. 4, ал. 1, т. 2 от ЗЗЛД на лицето, за което се отнасят данните да бъдат обработвани от конкретно дружество, като операторът е длъжен да го уведоми предварително, води до извода, че обработването е предприето в нарушение на условията на чл. 4, ал. 1 от ЗЗЛД. Това обосновава и извода за допуснато от дружеството нарушение и за неоснователност на жалбата му против административния акт в частта, в която това нарушение е установено. Определянето на размера на наложената имуществена санкция в размер на 13 000 лева от страна на КЗЛД е правилно и обосновано. Съгласно разпоредбата на чл. 42, ал. 1 от ЗЗЛД е в размер от 10 000 до 100 000 лева. Мотивите на административния орган са в насока, че наказанието следва да бъде определено към минималния размер, предвид тежестта на нарушението и обществените отношения, които засяга. Настоящият състав споделя тези мотиви и счита, че размерът на имуществената санкция е правилно определен. Поради всичко изложено настоящата инстанция приема, че са налице основания за отмяна на съдебния акт в оспорената му част, в която е отменено решението на КЗЛД по т. 3 и 4 и преписката е върната за ново разглеждане, като след отмяната му настоящият състав следва да постанови решение по съществото на спора, с което да отхвърли жалбата на "Ф. И." ЕАД срещу т. 3 и т. 4 от решението на Комисията за защита на личните данни. Решението на АССГ в частта, в която е отхвърлена жалбата на "Ф. И." ЕАД срещу т. 3 и т. 5 от решението на КЗЛД също е неправилно. Неправилно както съдът, така и КЗЛД са приели, че предоставянето на личните данни на Самхат на "С. д. С." ЕООД с цел връчване на уведомлението за цесията е в нарушение на разпоредбата на чл. 20, ал. 1 от ЗЗЛД. Касае се за процедура по връчване на съобщения на физическото лице, при която са необходими имена и адрес за получаване на пратката. Независимо дали връчването се извършва от "Български пощи" или от куриерски фирми, този пазар е либерализиран с цел задоволяване потребностите на обществото. Не е необходимо да се иска съгласието на лицето, когато неговите лични данни се предоставят с цел връчване на писмо или пощенска пратка. Касационната инстанция счита, че в случая не е налице хипотезата на чл. 20, ал. 1 от ЗЗЛД, а следва да бъде приложена нормата на чл. 24, ал. 1 от ЗЗЛД, която дава правомощия на администратора на лични данни да обработва данните сам и или чрез възлагане, като отношенията между администратора и обработващия личните данни се уреждат с нормативен акт, договор или друг акт - ал. 4. В текстовете на ал. 5 и 6 са уредени гаранциите, които ще доведат до защита на личните данни, както и отговорността за вреди, в случай, че настъпят такива за лицето, чиито данни за обработвани. Поради това решението на АССГ в частта, с която е отхвърлена жалбата на "Ф. И." ЕАД срещу т. 3 и т. 5 от решението на КЗЛД следва да бъде отменено и вместо него да постанови друго по съществото на спора, с което да отмени решението на КЗЛД по т. 3 и 5. Съобразно изхода на спора пред настоящата инстанция и претендираните разноски от касаторите, разноските следва да останат така като са направени от тях. Искането на пълномощника на ответницата Л. С., чрез пълномощника й адвокат Колев за присъждане на разноски по делото в размер на 300 лева също е неоснователно, предвид липсата на доказателства за направени разноски за настоящата инстанция, както и по съображения, че същото е направено несвоевременно - т. е. след приключване на съдебните прения и даване ход по същество на делото /пълномощникът на касационната ответница не е присъствал на проведеното съдебно заседание и е представил допълнително писмена защита/. По тези съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, пето отделение,