Решение № 426 от 16.1.2025 г. на ВАС по адм. д. № 6684/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на Комисията за защита на личните данни срещу решение 2307 от 08.04.2024 г. по адм. дело 11591/2023 г. на Административен съд София-град. С обжалваното решение АС София-град е отменил по жалба на министъра на вътрешните работи решение ППН-02-107 от 05.10.2022 г. на Комисията на защита на личните данни и е върнал преписката на административния орган за ново произнасяне в съответствие с дадените указания в решението относно тълкуването и прилагането на закона, като е определил едномесечен срок, считано от влизане на решението в сила. Касационният жалбоподател, чрез процесуалния си представител, поддържа, че обжалваното решение е неправилно и необосновано касационни основания за отмяна по чл. 209, т. 3 АПК. Излага доводи, че съдът неправилно е приел, че комисията се е произнесла по нередовен сигнал, както и че е следвало да проведе производство разглеждане на жалби, вместо производство по разглеждане на сигнал, при което е достигнал до погрешни правни изводи за постановяване на решението при допуснати съществени нарушения на административнопроизводствените правила. Сочи, че съдът в обстоятелствената част на решението си е обсъждал различно решение на КЗЛД ППН-01-61/17 от 26.04.2018 г., с което е наложена имуществена санкция на МВР. В представеното писмено становище пред касационната инстанция сочи, че приложената към сигнала бланка на КАТ Русе съдържа лични данни единен граждански номер на физическо лице гражданин на Р България, който при проверка е установено, че е действителен, което обосновава извод, че действията на служителите на МВР са в нарушение на правилата за обработване на лични данни. Поддържа също, че постановената мярка с обжалваното решение официално предупреждение няма санкционен характер, като целта й е да се обърне внимание на администратора на лични данни да не допуска за в бъдеще такова нарушение. При тези съображения иска да се отмени обжалваното решение и се отхвърли първоначалната жалба. Ответникът по касационната жалба министърът на вътрешните работи, чрез процесуалния си представител, представя писмен отговор, в който поддържа, че обжалваното решение е правилно и не са налице сочените касационни основания за отмяната му. Сочи, че съдът правилно е приел, че сигналът е нередовен, министърът на вътрешните работи не е уведомен за производството пред КЗЛД и неправилно не му е предоставена възможност да участва в производството пред комисията, приключило с оспорения пред първата инстанция административен акт. При тези доводи, подробно развити в писмени бележки, иска да се остави в сила обжалваното решение. Прокурорът от Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е неоснователна по следните съображения: Съдът е изяснил фактическите обстоятелства по делото и при коректен анализ на фактическите установявания правилно е приложил релевантната нормативна уредба. Производството пред КЗЛД е образувано по подаден сигнал с вх. ППН-02-107/16.02.2023 г. от И. И. относно незаконосъобразно разпространение на лични данни на физическо лице от страна на сектор Пътна полиция към ОД на МВР Русе. Сигналът е подаден по електронен път и не е подписан с електронен подпис. Според изложеното в сигнала в сектор Пътна полиция към ОД на МВР Русе й е предоставена бланка на декларация, като на гърба на бланката е отпечатан фиш с наложена глоба на физическо лице, с посочен ЕГН. Посочено е, че на бюрото на разследващия полицай е имало купчина с идентични бланки. По сигнала е изготвена докладна записка от държавен инспектор в комисията, в която е пресъздадено съдържанието на сигнала, прието е, че министърът на вътрешните работи е допуснал нарушение в качеството на администратор на лични данни на разпоредбата на член 32, параграф 1, буква б от Регламент (ЕС) 2016/679 и направено предложение на основание член 58, параграф 2, буква б във връзка с член 32, параграф 1, буква б и параграф 2 от Регламент (ЕС) 2016/679 да се отправи официално предупреждение до министъра на вътрешните работи. На 12.04.2023 г. е проведено заседание на КЗЛД, на което е разгледан докладът на държавния инспектор и е посочено, че отпечатаният на гърба на бланката ЕГН е проверен и е валиден, след което е одобрено внесеното предложение с докладната записка. С обжалваното пред административния съд Решение рег. ППН-02-107/05.10.2022 г. КЗЛД е възприела фактическите и правни положения в сигнала и докладната записка и на основание член 58, параграф 2, буква б във връзка с член 57, параграф 1, буква а от Регламент (ЕС) 2016/679 е отправила официално предупреждение до министъра на вътрешните работи за това, че е извършил нарушение на член 32, параграф 1 от Регламент (ЕС) 2016/679, а именно: в качеството му на администратор на лични данни не е приложил подходящи технически и организационни мерки за осигуряване на съобразено с риска ниво на сигурност на обработването, в резултат на което е допуснал лични данни по смисъла на член 4, параграф 1 от Регламент (ЕС) 2016/679 на физическо лице, съдържащи се в отпечатана на обратната страна на фиш с наложена глоба информация, да бъдат общодостъпни за неограничен кръг външни лица. Съдът при тези фактически установявания е извел правилен извод, че решението е прието в нарушение на административнопроизводствените правила, което е лишило адресатът на акта от участие в административното производство. Препятстването на правото на защита на страната представлява съществено нарушение на процесуалните правила и съставлява основание за отмяна на административния акт, съгласно чл. 146, т. 3 АПК. Неоснователни са доводите в касационната жалба относно характера на производството произнасяне по сигнал, което не изисквало уведомяване на администратора на лични данни. В чл. 35, ал. 1 от Правилника за дейността на КЗЛД е посочено, че жалбата е искане, с което се търси защита за нарушени на искателя права по Регламент (ЕС) 2016/679 и по ЗЗЛД, а съгласно ал. 2 сигналът е искане, с което се съобщава за нарушения на Регламент (ЕС) 2016/679 и по ЗЗЛД, без да са засегнати права на искателя. Изискванията за редовност на жалбите и сигналите са уредени в чл. 28, ал. 1 4 ПДКЗЛД, а съгласно чл. 29, ал. 1, т. 1 ПДКЗЛД не се разглеждат анонимни искания или сигнали, които не са подписани от подателя или от негов представител по закон или пълномощие, както и такива, в които не е посочена информацията по чл. 28, ал. 1. В тези случаи разпоредбата на чл. 29, ал. 2 допуска, че комисията може да се самосезира и/или да уведоми съответните институции, когато в анонимно искане или сигнал се съдържа информация за накърняване на значим обществен интерес. Съдът правилно е приел, че комисията е следвало да констатира, че сигналът е подаден по електронен път и не е подписан с електронен подпис, поради което е следвало да предприеме действия да потвърди авторството на подателя, както е посочено в чл. 28, ал. 2 4 ПДКЗЛД или по чл. 29, ал. 2 ПДКЗЛД. Правилен и обоснован е изводът на съда, че административният орган в нарушение на нормативните правила не е уведомил администратора на лични данни за подадения сигнал с данни за неправомерно обработване на лични данни на физически лица в Сектор Пътна полиция към ОД на МВР Русе. Това изискване следва както от общите административнопроизводствените правила в АПК, така и от разпоредбата на чл. 32 ПДКЗЛД, съгласно която за започване на производство освен искателят се уведомяват и известните заинтересовани лица. Според дефинициите на чл. 35, ал. 1 и 2 ПДКЗЛД, цитирани по-горе, жалбата и сигналът са определени като искане, което има различна насоченост в първия случай става въпрос за заявени нарушения, които засягат лично искателя, а във втория за нарушения на Регламент (ЕС) 2016/679 и по ЗЗЛД, без да са засегнати права на подателя. Както се вижда от приложимата редакция на чл. 32 ПДКЗЛД, който систематично предхожда разпоредбите на чл. 35 и сл. ПДКЗЛД, изискването за уведомяване на заинтересованите лица не е поставено в зависимост от характера на искането. Новата редакция на чл. 32, ал. 1 ПДКЗЛД, обн. ДВ, бр. 32 от 2023 г., в сила от 28.04.2023 г., аналогична на отменения чл. 41 ПДКЗЛД, относно реда и условията за провеждане на административното производство пред комисията изрично сочи, че събирането на доказателствата, назначаването на експерти, представителството, призоваването и други действия в производството по тази глава се извършват по реда на АПК. Според общите административнопроизводствените правила административният орган уведомява заинтересованите страни за образуваното производство като им осигурява участие в процеса при спазване на правата им по чл. 34, ал. 1 АПК. Трябва да се отбележи също, че в ПДКЗЛД не се съдържат различни процедурни правила за производство, образувано по сигнал по чл. 35, ал. 2 ПДКЗЛД. Задължителното уведомяване и предоставяне на възможност за участие на администратора на лични данни в образуваното производство пред комисията за нарушения на Регламент (ЕС) 2016/679 следва и от характера на наложената мярка с оспореното пред първоинстанционния съд решение. Съгласно чл. 84, ал. 1 ЗЗЛД, мерките по чл. 58, параграф 2, букви "а" "з" и "й" от Регламент (ЕС) 2016/679 и мерките по чл. 80, ал. 1, т. 3, 4 и 5 са принудителни административни мерки по смисъла на Закона за административните нарушения и наказания. Те се налагат с решение на комисията и подлежат на съдебен контрол по реда на АПК. Администраторът на лични данни, чиято дейност по обработване на данните е предмет на производството пред комисията, следва да бъде уведомен за производството и да му бъде дадена възможност да участва с оглед защита на неговите права и интереси. Неизпълнението на това задължение от комисията съдът правилно е приел, че представлява съществено нарушение на административнопроизводствените правила. Неоснователни са доводите, че наложената мярка по член 58, параграф 2, буква б от Регламент (ЕС) 2016/679 няма санкционен характер, т.е. не е наложена имуществена санкция на администратора на лични данни. Правното естество на отправеното официално предупреждение като принудителна административна мярка, чието налагане има за цел да преустанови извършването на нарушение, като по този начин се постигне дължимо поведение от администратора на лични данни, изисква административният орган да обезпечи участието на страната в административния процес. Съдът правилно е приел, че предвид установения порок по чл. 146, т. 3 АПК на обжалваното решение, не следва да се произнася но неговата материална законосъобразност. Следва да се подкрепят също констатациите на съда, че комисията не е извършила проверка и не е събрала никакви доказателства във връзка с данните в сигнала за неправомерно обработване на лични данни в сектор Пътна полиция към СДВР Русе, извън представеното фотокопие на бланка със сигнала и проверката за действителност на посочения в нея ЕГН. Съгласно чл. 12, ал. 4 ЗЗЛД, комисията разполага с правомощието да извършва проверки по нейна инициатива, по жалба на заинтересовани лица или след подаден сигнал, но в случая не са предприети действия в насока изясняване на фактическите обстоятелства, свързани с подадения сигнал и се прецени тежестта на нарушението. Неизпълнението на това правомощие не позволява извършването на съдебен контрол за материалната законосъобразност на акта. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице касационни основания за отмяната му, поради което следва да се остави в сила. С оглед изхода на спора и направеното своевременно искане за присъждане на разноски от ответната страна, Комисията за защита на лични данни, на основание чл. 78, ал. 8 ГПК вр. чл. 144 АПК, следва да заплати на Министерството на вътрешните работи сумата 100лв. разноски за юрисконсултско възнаграждение за касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,