Решение № 6759 от 4.06.2021 г. на ВАС по адм. д. № 2604/2021 г.

Решение № 6759 от 4.06.2021 г. на ВАС по адм. д. № 2604/2021 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "МиБМ ЕКСПРЕС" ООД срещу Решение № 6729/25.11.2020 г. на Административен съд София-град (АССГ) постановено по адм. дело № 6270/2020 г. С обжалваното решение, по жалба на "МиБМ ЕКСПРЕС" ООД е: изменено Решение № ППН-01-376/2019 от 5.05.2020 на Комисията за защита на личните данни (КЗЛД, Комисията), в частта по т. 4, с която на основание чл. 83, § 4, б. "а", вр. чл. 58, § 2, б. "и" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД) на "МиБМ ЕКСПРЕС" ООД като администратор на лични данни наложена имуществена санкция в размер на 5000 лева, като същата е намалена на 1500 (хиляда и петстотин) лева; жалбата на "МиБМ ЕКСПРЕС" ООД е отхвърлена в останалата й част; "МиБМ ЕКСПРЕС" ООД и КЗЛД са осъдени да заплатят разноски по делото. Касаторът обжалва съдебното решение като неправилно – постановено в нарушение на материалния закон и при съществено нарушение на съдопроизводствените правила. Оспорва извода на съда, че Решение № ППН-01-376/2019 от 5.05.2020 на КЗЛД е издадено от компетентен административен орган, в рамките на предоставените му правомощия, съгласно чл. 38, ал. 2 от Закона за защита на личните данни (ЗЗЛД). В тази връзка излага подробни съображения, че Комисията няма компетентност да се произнесе по случаи, касаещи използване на лични данни, когато последните представляват престъпления по смисъла на Наказателния кодекс (НК). Оспорва изводите на съда, че от събраните по преписката пред КЗЛД доказателства, се установявало, че личните данни на г-жа И. са обработени неправомерно, като са предоставени на трети лица без съгласието на засегнатите. Излага съображения, че съдът не е извършил необходимите съдопроизводствени действия, необходими за изясняване характера и същността на твърдяното за извършено от дружеството нарушение, за да бъда направен изводът, че е налице нарушението, посочено в решението на КЗЛД. Липсвало и произнасяне на съда по съдържащото се в жалбата твърдение, че в решението си КЗЛД не е обсъдила всички необходими и изисквани от чл. 83, § 2 от (ЕС) 2016/679 елементи. Моли обжалваното решение да се отмени. Алтернативно, в случай, че се приеме, че "МиБМ ЕКСПРЕС" ООД е извършило нарушението, се иска намаляване на размера на наложената санкция. Претендира разноски за двете съдебни инстанции. Представя Списък на разноските. Касационният жалбоподател се представлява от адв. Ж. – М. и адв. Р.. Ответникът по касация – Комисия за защита на личните данни оспорва касационната жалба по съображения изложени в писмени бележки. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Сочи, че към касационната жалба не са представени доказателства за разноски, поради което претенцията за присъждането на такива следва да се остави без уважение. Алтернативно, при представяне на доказателства за направени разноски, прави възражение за прекомерност на адвокатското възнаграждение. Ответникът по касация се представлява от юрк. Р.. Ответниците по касация – частен съдебен изпълнител (ЧСИ) З. З. и Д. И. (посочена в списъка за призоваване като Д. Х.) не изразяват становище по касационната жалба. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна. Съдът е обсъдил събраните по делото доказателства и е приел за установено от фактическа страна следното: Производството пред КЗЛД е започнало по жалба № ППн-01-376/11.04.2019 г. на Д. И. срещу ЧСИ З., по повод получени съобщения по изпълнително дело, адресирани до нея, баща й и юридическо лице, по което те били длъжници. В жалбата се посочва, че на 8.04.2019 г. при посещение в кварталния магазин, магазинерката, пред присъстващите, й дала съобщения, като я уведомила, че били оставени от мъж, който се представил за помощник на ЧСИ. В съобщенията били посочени лични данни на длъжниците - физически лица, три имена и телефонни номера. Комисията е сезирана с искане да извърши проверка и при установяване на нарушения да наложи санкция на лицето, което неправомерно е обработило личните данни. Комисията за защита на личните данни е приела жалбата за допустима, насрочила е заседание за разглеждането й и е конституирала страните. От частния съдебен изпълнител и от Камарата на частните съдебни изпълнители (КЧСИ) са изискани справки и доказателства. От постъпилите такива е установено, че пред ЧСИ З. е образувано изпълнително дело срещу Д. И.. Частният съдебен изпълнител има договор за абонаментно обслужване с "МиБМ ЕКСПРЕС" ООД. На 8.04.2019 г. до длъжниците по изпълнителното дело са изпратени съобщения и други книжа, чрез куриерската фирма "МиБМ ЕКСПРЕС" ООД. Съобщенията са връчени с оформени обратни разписки за доставяне. Съдът е посочил, че фактите по изпращане на съобщения до длъжниците от ЧСИ не се оспорват; не се оспорва и куриерската фирма, с която ЧСИ има абонаментен договор за обслужване, както и факта на връчване на пощенските пратки с посочени върху пликовете имена на адресатите, на лице, което по правилата на "МиБМ ЕКСПРЕС" ООД не може да получи пратките, както и нарушаване на политиката на дружеството по връчване на кореспонденция на получателя/ите. По договорка между "МиБМ ЕКСПРЕС" ООД и ЧСИ, първият организира и доставя писма и съобщения от кантората на ЧСИ. Връчването е отразено в дневниците на "МиБМ ЕКСПРЕС" ООД, като доставена пратка. Д. И. не е получавала лично, или за някой друг адресат съобщенията от ЧСИ. Обратните разписки са оформени с подписи на лице, различно от И.. На проведеното на 29.01.2020 г. КЗЛД, в състав от трима членове, е конституирала "МиБМ ЕКСПРЕС" ООД като ответна страна. На дружеството е изпратено съобщение, като на 19.02.2020 г. то е депозирало становище, с което оспорва жалбата. От Комисията са изискани вътрешноведомствени актове – правила за дейност на търговеца по общите условия; политика за поверителност; инструкция за съхранение и унищожаване на документи, както и доказателства за налични търговски отношения с ЧСИ З. и фактура за платена такса за обслужване. На 11.03.2020 г. е проведено последно заседание по жалбата от комисията при кворум председател и трима члена на административния орган. На 5.05.2020 г. е постановено Решение № ППН-01-376/2019 г. При така установеното от фактическа страна съдът е приел от правна страна, че процедурата пред КЗЛД се е развила в сроковете по чл. 38, ал. 1 ЗЗЛД, без допуснати нарушения от страна на административния орган по проверка редовността, допустимостта и основателността на искането на сезиращото лице. В процедурата по събиране на доказателства е установено, че "МиБМ ЕКСПРЕС" ООД, като предоставящ куриерски услуги, е поел срочен ангажимент да доставя книжа и съобщения на ЧСИ З. до страни по изпълнителни дела, вкл. до Д. И.. Установено е, че лични данни на И. – три имена, адрес и телефонни номера, са обработени неправомерно, като са предоставени на трети лица, без съгласие на засегнатите. Изложил е съображения, че не отрича становището на жалбоподателя, че в случая са налице престъпни посегателства, наказуеми по НК – нарушена неприкосновеност на кореспонденция и документно престъпление, но е посочил, че правилно, в резултат извършена проверка и по събиране на доказателства, е установено, че жалбоподателят, в качество на администратор на лични данни, не проявява формалния контрол по отношение на наети за извършване на дейност по връчване лица. Приел е, че оспореното решение е издадено от компетентен орган, в съответствие с предоставените на Комисията правомощия по чл. 38, ал. 1 и 3 ЗЗЛД в приложимата му редакция, в предписаната от закона форма – решение, в което са посочени мотивите – фактически и правни основания. При постановяване на административния акт не са допуснати нарушения на административнопроизводствените правила. Приел е, че по делото е доказано, че дружеството жалбоподател не е изпълнило задължението си за предприеме на съответни мерки за спазване на правилата за обработка на данните от неговите служителя. Дружеството формално е въвело правила, които не се спазват. Изложил е съображения, че правилно и законосъобразно КЗЛД е приела, че дружеството е извършило нарушение на чл. 32, § 4 вр. чл. 5, § 1, б. "е" от ОРЗД при обработка на личните данни на Д. И., а именно поради непредприети от негова страна мерки/стъпки спрямо неговите служители във връзка с обработката на данните на получатели на пощенски пратки, тези данни безконтролно стават достояние на трети лица. С доставката на пратка на трето лице, различно от заинтересованата страна, жалбоподателят, чрез нает от него работник, е разкрил както личните данни, съдържащи се в известието за доставяне, така и в самата пратка, независимо от това дали тази пратка с била в запечатан или незапечатан плик, осигурявайки достъп до тези данни. Споделил е становището на КЗЛД, че най-подходяща и целесъобразна е мярката по чл. 58, § 2, б. "г" от Регламент (ЕС) 2016/679, която има за цел преустановяване на извършваното нарушение, като по този начин се постига дължимото поведение по отношение на защитата на личните данни. Приел е, че марката отговаря на принципа на съразмерност (чл. 6 от АПК), която в най-пълна степен отговаря на обществения интерес (защита на личните данни на трети лица) и частния такъв (защита от неправомерно обработване лични данни на жалбоподател). По отношение на наложеното на "МиБМ ЕКСПРЕС" ООД административно наказание е изложил съображения, че правилно КЗЛД е приела, че в случая е приложима корективната мярка по чл. 58, § 2, б. "и" от Регламент (ЕС) 2016/679, но е посочил, че при определянето й, административният орган не е обсъдил елементите на чл. 83, § 2 от същия регламент и не е съобразил "Насоки относно прилагането и определянето на административни наказания "глоба" и "имуществена санкция" за целите на Регламент (ЕС) 2016/679". Приел е, че не е ясно при какъв критерий е определен размерът на имуществената санкция по т. 4 от оспорваното решение, при положение, че ОРЗД не предвижда минимум на санкцията. Намерил е, че при установено нарушение по чл. 32, § 4 от ОРЗД, размерът на санкцията е завишен и решението на Комисията следва да се измени в частта по т. 4, като се намали размерът на наложената санкция на 1500 лв. Решението е правилно. Предмет на контрол за законосъобразност пред АССГ е Решение №ППН-01-376/2019 от 05.05.2020 г. на КЗЛД, с което: 1. Жалба с рег. № ППН-01-376/11.04.2019 г. подадена от Д. И. срещу ЧСИ З. З. е приета за неоснователна и недоказана; 2. Жалба с рег. № ППН-01-376/11.04.2019 г. подадена от Д. И. срещу "МиБМ ЕКСПРЕС" ООД е приета за основателна, за извършено от администратора на лични данни "МиБМ ЕКСПРЕС" ООД нарушение на чл. 32, § 4, вр. чл. 5, § 1, б. "е" от ОРЗД; 3. Във връзка с т. 2 на решението и на основание чл. 58, § 2, б. "г" от Регламент (ЕС) 2016/679, на администратора на лични данни "МиБМ ЕКСПРЕС" ООД е разпоредено да предприеме мерки за привеждане на операциите по обработване на личните данни, извършвани в контекста на осъществяваната от дружеството дейност, чрез неговите служители – пощенски услуги и по – конкретно, доставката на препоръчани пратки с известие за доставяне, като преустанови връчването на такива пратки, съдържащи лични данни, на лица, различни от изброените в съответния специален закон, като такива имащи право да ги получават, в 14-дневен срок от влизане в сила на решението, като за изпълнение на разпореждането се уведоми КЗЛД и се представят доказателства; 4. Във връзка с т. 2 на решението и при условията на чл. 83, § 2 от ОРЗД, допълнително към мярката по т. 3, на основание чл. 83, § 4, б. "а", вр. чл. 58, § 2, б. "и" от ОРЗД на администратора на лични данни "МиБМ ЕКСПРЕС" ООД е наложена имуществена санкция от 5000 лева при условията на чл. 83, § 2 от Регламент (ЕС) 2016/679. Решението на КЗЛД в частта му по т. 1 не е обжалвано, влязло е в сила и не е било предмет на съдебна проверка. Не е предмет на касационната проверка решението на съда, в частта, с която е изменено решението на КЗЛД, относно наложената имуществена санкция в размер над 1500 лв. до пълния размер на наложената санкция от 5000 лв., тъй като в тази част липсва жалба от Комисията. Съдът е събрал относимите към спора доказателства, въз основа на които правилно е установил фактите по делото. Правилни и обосновани са и правните му изводи. Правилно съдът е приел, че обжалваното пред него решение е издаден от компетентен орган, в кръга на предоставените му правомощия, в изискуемата писмена форма, без допуснати съществени нарушения на административнопроизводствените правила и материалния закон. Противно на изложеното в касационната жалба, отговорността на администратора на лични данни "МиБМ ЕКСПРЕС" ООД не е ангажирана за това, че лични данни на Д. И. – три имена, номер на изпълнително дело, адрес, заключение на вещо лице за оценка на имота на Д. И. са се съдържали върху обратните разписки придружаващи пощенските пратки, а за нарушение на чл. 32, § 4 от ОРЗД, предвиждащ, че администраторът и обработващият лични данни предприемат стъпки всяко физическо лице, действащо под ръководството на администратора или на обработващия лични данни, което има достъп до лични данни, да обработва тези данни само по указание на администратора, освен ако от въпросното лице не се изисква да прави това по силата на правото на Съюза или правото на държава членка. От събраните в хода на административното производство доказателства, вкл. графическа експертиза изготвена от вещото лице Д. Г. и обективирана в Протокол за извършена експертиза № 20/ДОК-038 се установява, че: 1. ръкописно изписаните имена "Д. Д. " в графи "(три имена)" в два броя копия на Известия за доставяне (AR), с "вх. 18424/9.04.2019" и "вх. 18442/9.04.2019" с получател Д. И., с дати от 08.04.2019 г., представляват изображения на ръкописни текстове ("Д. Д."), които не са изписани от Д. И.; 2. Подписите, в графи "(подпис)" в два броя копия на Известия за доставяне (AR), с "вх. 18424/9.04.2019" и "вх. 18442/9.04.2019" с получател Д. И., с дати от 8.04.2019 г., представляват изображения на подписи, които не са положени от Д. И.. Констатациите на експертизата допусната от КЗЛД не са опровергани в хода на проведеното съдебно производство, поради което на основание чл. 171, ал. 1, изр. първо АПК същата има сила и пред съда. При безспорния факт, че пощенските пратки са доставени от "МиБМ ЕКСПРЕС" ООД, съгласно сключения договор с ЧСИ З. З., и че същите са връчени на лице, различно от адресата му, следва да се приеме, че служителят на дружеството не е спазил правилата за връчване на пощенските пратки. Служителят е връчил пощенските пратки на лице различно от адресата му, с което неправомерно са обработени личните данни на това лице. По делото не са ангажирани доказателства, от които да е видно, че "МиБМ ЕКСПРЕС" ООД като администратор на лични данни, е взел необходимите мерки, неговите служители, които имат достъп до личните данни, необходими за предоставяне на пощенската услуга, да ги обработват съобразно утвърдените в дружеството правила (макар доказателства за наличието на такива да са представени по делото), т. е. съобразно указанията на администратора. Липсват доказателства, че служителите са запознати с въведените от администратора правила, че са подготвени за работа с лични данни (проведено им е обучение и е извършена проверка на познанията им) във връзка със защита на личните данни, че е осъществяван контрол върху служителите, че служителите са поели задължение да не разпространяват лични данни. В резултат на допуснатото нарушение от служител на дружеството са разкрити лични данни на Д. И.. Неоснователно в касационната жалба се сочи, че неправилно съдът е приел, че Решение № ППН-01-376/2019 от 5.05.2020 г. е издадено от компетентен административен орган, в рамките на предоставените му правомощия, съгласно чл. 38, ал. 2 ЗЗЛД, тъй като в административната преписка имало доказателства, че ръкописният текст и подписът в известие за доставяне № 8100015837404 ("вх. 18442/9.04.2019" съобразно заключението на вещото лице) не е изписан и положен от Д. И., от което следвало, че в конкретния случай става въпрос за извършване на престъпление. При разглеждане на жалба за нарушение при обработване на лични данни, какъвто е процесният случай, от КЗЛД не се преценява има ли извършено престъпление и кой е неговият извършител, а дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това, взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. Наличието или липсата на данни за извършено престъпление по НК, няма отношение към административноправния спор, защото в двете производства се преценяват различни обстоятелства. В производството пред КЗЛД не е предмет кой и защо е отворил чужда кореспонденция, а дали администраторът на лични данни е изпълнил задълженията си по ОРЗД за защита на данните, които обработва. В случая правилно Комисията е установила нарушение на задължението на "МиБМ ЕКСПРЕС" ООД като администратор на лични данни по чл. 32, § 4 от Регламент 2016/679. Изложените в касационната жалба съображения за допуснати съществени нарушения на съдопроизводствените правила, касаят допуснати според касатора нарушения от КЗЛД в хода на административното производство. Същите са обсъдени от съда и правилно са приети за неоснователни. Не се сочат конкретни съдопроизводствени действия, които не са извършени от съда и които са били необходими за изясняване характера и същността на твърдяното за извършено от "МиБМ Експрес" ООД нарушение. Съдът е изпълнил задължението си по чл. 170, ал. 3 АПК, като е разпределил доказателствената тежест между страните. Обсъдил е представените от жалбоподателя (сега касационен жалбоподател) доказателства, като правилно е приел, че те не доказват, че администратора на лични данни е предприел съответните мерки спрямо служителите си, които гарантират спазването на принципите на обработка на личните данни. Правилно е приел, че са налице нарушения на установените от дружеството правила от неговия служител – куриер, в резултат на което съобщенията на ЧСИ попадат у лице, за което данните на адресатите на кореспонденцията не може да станат достояние. Неоснователно в касационната жалба се сочи, че липсва произнасяне на съда по твърдението на жалбоподателя, че в решението КЗЛД не е обсъдила всички необходими и изисквани от чл. 83, § 2 от Регламент 2016/679 елементи. Съдът е анализирал избраната от КЗЛД мярка по чл. 58, § 2, б. "г" от ОРЗД и правилно е приел, че тя е най-подходяща и целесъобразна. Преценявайки решението на КЗЛД в частта относно наложеното на "МиБМ Експрес" ООД административно наказание "имуществена санкция" правилно е приел, че правилно КЗЛД е приела, че в случая е приложила корективната мярка по чл. 58, § 2, б. "и" от ОРЗД, но неправилно е приел, че при определяне на санкцията административният орган не е обсъдил елементите на чл. 83, § 2 от Регламент 2016/679. В решението си Комисията е обсъдила всички елементите на чл. 83, § 2 от Регламент 2016/679, при преценка размера на наложената имуществена санкция. Независимо от това правилен е изводът на решаващия съд, че при липсата на минимум на санкцията по чл. 83, § 4, б. "а" не е ясно по какъв критерии е определен размер от 5000 лв. на имуществената санкция. Настоящата инстанция споделя изводите на решаващия съд, че определеният от Комисията размер на санкцията от 5000 лв. е завишен и, че същата следва да се намали на 1500 лв. Липсват доказателства, въз основа на които да се направи извод, че размерът на имуществената санкция следва да бъде още намален, каквото искане е направено в касационната жалба. Размерът на същата съответства на тежестта на нарушението. Липсват доказателства, че този размер е прекомерен с оглед имущественото състояние на дружеството. При липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора своевременно направената от КЗЛД претенция за присъждане на юрисконсултско възнаграждение, на основание чл. 78, ал. 8 ГПК, чл. 37, ал. 1 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, и тълкувателно решение № 3 от 13.05.2010 г. по тълкувателно дело № 5/2009 г. на Върховния административен съд, следва да се уважи. С оглед предмета на спора, фактическата и правна сложност на делото съдът определя същото в размер на 100 лева. Воден от горното и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, пето отделение