Решение № 8668 от 7.10.2022 г. на ВАС по адм. д. № 3441/2022 г.

Решение № 8668 от 7.10.2022 г. на ВАС по адм. д. № 3441/2022 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисията за защита на личните данни срещу Решение № 467/27.01.2022 г. на Административен съд София-град (АССГ) постановено по адм. дело № 6187/2021 г. С обжалваното решение е отменено Решение № ППН-01-1903/2019 от 13.04.2021 г. на Комисията за защита на личните данни (КЗЛД, Комисията), в частта му по т. 1, с която жалба № ППН-01-1903/23.12.2019 г. подадена от Н. И. е обявена за основателна за нарушение на чл. 32, § 1, б. "б" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък "Регламент (ЕС) 2016/679" или ОРЗД, и в частта му по т. 2, с която на основание чл. 58, § 2, б. "и" във връзка с чл. 83, § 4, б. "а" от Регламент (ЕС) 2016/679 на "СИЕЛА НОРМА" АД, в качеството му на администратор на лични данни, е наложено административно наказание "имуществена санкция" в размер на 5000 лева и Комисията е осъдена да заплати разноски по делото. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – отменителни основания по чл. 209, т. 3 АПК. Оспорва извода на съда, че е налице противоречие между диспозитива на решението и неговите мотиви. Излага подробни съображения за липсата на такова противоречие. Твърди, че констатацията на надзорния орган, по повод полученото уведомление за нарушение на сигурността на данните, което е отразено като обстоятелство в оспорваното решение на КЗЛД, касае последващите предприети мерки, т. е. такива, които следват във времето нарушението и които са предприети от администратора на лични данни, с цел справяне с нарушението и намаляване на неблагоприятните последици от него – задължение по чл. 33, § 1, б. "г" от ОРЗД. Сочи, че с процесното решение отговорността на администратора е ангажирана за нарушение на чл. 32, § 1, буква "б" от Регламент (ЕС) 2016/679 – за това, че не е изпълнил задължението за прилагане на технически и организационни мерки за защита сигурността на данните преди нарушението. Излага съображения, че от събраните доказателства се доказва извършването на нарушението, поради което правилно е ангажирана отговорността на администратора на лични данни. Моли обжалваното решение да се отмени и делото да се реши по същество, като се отхвърли жалбата на "СИЕЛА НОРМА" АД. Претендира разноски и юрисконсултско възнаграждение за двете съдебни инстанции. Алтернативно, ако касационната жалба не бъде уважена, прави възражение за прекомерност на заплатеното адвокатско възнаграждение. Касационният жалбоподател се представлява от юрк. Райчева. Съображения за уважаване на жалбата излага и в писмена молба, като преповтарят доводите изложени в касационната жалба. Ответникът по касация – "СИЕЛА НОРМА" АД оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Във връзка с отправеното от Върховния административен съд (ВАС) преюдициално запитване до Съда на Европейския съюз (СЕС) по адм. дело № 1037/2021 г. по описа на ВАС, прави искане за спиране на настоящото дело до произнасянето на СЕС. Не претендира разноски. Ответникът по касация – Н. И. не изразява становище по касационната жалба. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: С оспорваното пред АССГ Решение № ППН-01-1903/2019 от 13.04.2021 г. на КЗЛД в оспорваната му от "СИЕЛА НОРМА" АД част: 1. жалба рег. № ППН-01-1903/23.12.2019 г. подадена от Н. И. е обявена за основателна за нарушение на чл. 32, § 1, б. "б" от Регламент (ЕС) 216/679; 2. на основание чл. 58, § 2, б. "и" във връзка с чл. 83, § 14, буква "а" от Регламент (ЕС) 216/679 на администратора на лични данни "СИЕЛА НОРМА" АД е наложено административно наказание "имуществена санкция" в размер на 5000 лв. За да отмени решението на КЗЛД в обжалваната му част, от фактическа страна решаващият е установил, че административното производство пред Комисията е образувано по жалба рег. № ППН-01-1903/23.12.2019 г. подадена от Н. И. за нарушение на личните му данни – неправомерен достъп до данните за банковата му карта. За подадената жалба и започналото административно производство "СИЕЛА НОРМА" АД уведомена, като е депозирала възражение № ППН-01-1903/2019#3 от 24.04.2021 г. С Уведомление изх. № 704/04.12.2019 г. (вх. № ППН-02-644/5.12.2019 г. по описа на КЗЛД) на основание чл. 33, ал. 1 от Регламент (ЕС) 2016/679 "СИЕЛА НОРМА" АД е уведомила КЗЛД за вероятно извършено нарушение на сигурността на обработването на лични данни, като е предоставила дължимата се информация по чл. 67, ал. 3 от Закона за защита на личните данни (ЗЗЛД). На 10.12.2019 г. е депозирано и второ Уведомление. Със Заповед № РД-15-104 от 20.05.2020 г. на председателя на КЗЛД, по повод постъпилото уведомление по чл. 33 от Регламент (ЕС) 2016/679, е назначена проверка на "СИЕЛА НОРМА" АД. Резултатите от проверката са обективирани в Констативен протокол от 19.06.2020 г. По Уведомлението и по резултатите от проверката Комисията се е произнесла с решение по т. 2 по протокол № 43/07.10.2020 г. С писмо изх. № ППН-02-644/19 #11 от 10.11.2020 г. КЗЛД е уведомила "СИЕЛА НОРМА" АД за решението на Комисията според което, на основание чл. 57, § 1, б. "а" във връзка с чл. 58, § 1 от Регламент (ЕС) 2016/679, администраторът своевременно е предприел всички необходими мерки за предотвратяване на нерегламентиран достъп до разплащателната система на електронния си магазин, отчитайки естеството, тежестта и последиците, които биха могли да възникнат от нарушението на сигурността на данните. С Решение по Протокол № 46/28.10.2020 г. жалбата на Н. И. е приета за допустима, конституирани са страните и е определена дата за разглеждане на жалбата по същество. На проведеното на 13.01.2021 г. заседание на Комисията жалбата на Н. И. е разгледана по същество и е приета за основателна. Решението на Комисията е мотивирано с това, че "СИЕЛА НОРМА" АД не е предприела достатъчно организационни и технически мерки, като е допуснала вграждането на зловреден код, който дава възможност за неправомерен достъп до лични данни на клиентите на електронния магазин на "СИЕЛА НОРМА" АД, включително имена, номер на банкови карти, тип банкова карта, номер на карта, валидност на карта и секретен код. Въз основа на така проведеното административно производство, КЗЛД е издала процесното Решение № ППН-01-1903/2019 от 13.04.2021 г. От правна страна решаващият съд е приел, че оспореният акт е издаден от компетентен административен орган, при спазване на изискванията за кворум и мнозинство, в предвидената от закона форма. Приел е, че е налице противоречие между диспозитива на решението и мотивите, в частта им, в която е посочено, че с решение на КЗЛД, взето на основание чл. 57, § 1, б. "а" във връзка с чл. 58, § 1 от Регламент (ЕС) 2016/679, администраторът своевременно е предприел всички необходими мерки за предотвратяване на нерегламентиран достъп до разплащателната система на електронния си магазин, отчитайки естеството, тежестта и последиците, които биха могли да възникнат от нарушението на сигурността на данните и последиците, които биха могли да възникнат от нарушението на сигурността на данните. Посочил е, че така изложените мотиви противоречат на мотивите, че администраторът на лични данни не е предприел достатъчно технически и организационни мерки за защита на системата му, довело до достъп на трето лице до нея и въвеждане на код, чрез който се препраща към имитираща система на БОРИКА, като по този начин клиентите на електронния магазин предоставят данните си на трето лице без право на достъп. Приел е, че в хода на административното производство не са допуснати съществени процесуални нарушения, а констатираното противоречие в мотивите е довело до неправилно прилагане на материалния закон и противоречие с целта на закона. В тази връзка е изложил съображения, че описаната в мотивната част на решението фактическа обстановка не презюмира противоправно поведение на "СИЕЛА НОРМА" АД, като администратор на лични данни, изразяващо се в бездействие на последния да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни така, че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. Решението е правилно при следните коригиращи мотиви. Решаващият съд е установил коректно и въз основа на събраните по делото доказателства релевантата фактическа обстановка, по която между страните не се спори. С оглед изложеното в касационната жалба спорът по делото е свързан с приложението на материалния закон и дали е налице противоречие между мотивите на административния орган и диспозитива на постановеното от него решение. Решаващият съд правилно от фактическа страна е установил, че КЗЛД със свое решение по т. 2 по протокол № 43/7.10.2020 г. е приела, че администраторът своевременно е предприел всички необходими мерки за предотвратяване на нерегламентиран достъп до разплащателната система на електронния си магазин. Това решение обаче е постановено по повод Уведомлението по чл. 33 от Регламент (ЕС) 2016/679 заведено от "СИЕЛА НОРМА" АД с № ППН-02-644/05.12.2019 г. Решението касае предприетите от администратора на лични данни мерки след установяване на неправомерния достъп и уведомяването на Комисията, както и дали те са достатъчни. Така установеното не води до извод, че е налице противоречие между мотивите и диспозитива на постановеното от КЗЛД решение, както е приел решаващият съд, който извод не се споделя от настоящата инстанция. Това е така, защото Комисията в решението си е констатирала взетите от дружеството мерки след установяване на неправомерния достъп до лични данни на клиенти на дружеството, но Комисията е изложила и съображения, относно това, че с процесното решение отговорността се ангажира поради нарушение на чл. 32, § 1, б. "б" от ОРЗД. Отделен е въпросът дали извършването на нарушението правилно е прието за доказано от Комисията. Съгласно чл. 32, § 1, б. "б" от ОРЗД като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване. Комисията в обжалваното решение е приела, че посредством въвеждане на компютърен код към вече съществуващия код на информационната система на Сиела, е извършено препращане към дублираща страница, имитираща системата на БОРИКА, към която препраща модула за плащане на електронния магазин и чрез която е събирана информация за клиентите, подали заявка за покупка чрез банкова карта в електронния магазин. По този начин при поръчката на Н. И. на 2.11.2019 г. данните от банковата му карта са станали неправомерно достъпни за трето лице. Администраторът не е предприел достатъчно технически и организационни мерки за защита на системата си, което е довело до достъп на трето лице до нея и въвеждане на код, чрез който се препраща към имитиращата система на БОРИКА, като по този начин клиентите на електронния магазин предоставят личните си данни на трето лице без право на достъп до данните, вместо на БОРИКА. Това представлява нарушение на сигурността на обработването на лични данни по чл. 32, § 1, б. "б" от Регламент (ЕС) 2016/679. Видно от така изложеното в решението, Комисията въобще не е изследвала и направила анализ на мерките, които са съществували до този момент – 02.11.2019 г., за да се гарантира защитата на личните данни на потребителите на онлайн книжарницата на "СИЕЛА НОРМА" АД. В обжалваното решение на Комисията липсват каквито и да е констатации какви са били техническите параметри и характеристики на информационната система за онлайн поръчки на "Сиела Норма" АД към 2.11.2019 г. и какви организационни мерки за защита на данните са съществували и дали те са били подходящи. Комисията, като постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент 2016/679 и на ЗЗЛД (чл. 6, ал. 1 ЗЗЛД) дължи такава проверка и преценка, защото само по този начин, ще са гарантирани както правата на субекта на данните, така и правата на администраторите на лични данни, а е съдебната проверка за правилността на постановения от Комисията административен акт. Възприемането на тезата на Комисията, която се налага от процесното решение, че при осъществен неправомерен достъп до данните, винаги е налице нарушение на чл. 32, § 1 ОРЗД, означава да се приеме, че всеки който е станал обект на каквото и да е посегателство, следва да понесе отговорност, че е допуснал осъществяването на същото, независимо че може да е взел всички възможни към този момент технически и организационни мерки за защита на данните. Именно за да не се допусне това, Комисията дължи изследване и преценка на съществуващите до нарушението мерки за защита на данните и преценка дали те са били подходящи и съобразени с достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Именно защото Комисията дължи преценка на тези обстоятелства, искането на "СИЕЛА НОРМА" АД за спиране на настоящото дело до постановяване на решение на СЕС по дело С-340/21, което е образувано по преюдициалното запитване на ВАС по адм. дело № 1037/2021 г., следва да се остави без уважение. Вярно е, както се сочи в касационната жалба, че КЗЛД няма право и задължение за указва на администратора на лични данни какви мерки е следвало да приложи, но тя дължи преценка дали съществуващите (приложените) мерки към момента на извършване на нарушение на сигурността на личните данни, са били подходящи и достатъчни. Правилно решаващият съд в тази връзка е посочил, че във фактическите установяване на КЗЛД изцяло липсват обективните признаци на нарушението. Общият бланкетен израз "администраторът на лични данни не е предприел достатъчно технически и организационни мерки за защита на системата му" не обосновава извършено нарушение и реализиране на санкционна отговорност. В хода на производство е останало неизяснено какво точно не е предприела "СИЕЛА НОРМА" АД, за да допусне въвеждането на допълнителен код в системата си за електронна търговия. С оглед забраната на чл. 271, ал. 1 ГПК, вр. чл. 144 АПК няма основания за отмяна на съдебното решение и връщане на преписката на КЗЛД за ново произнасяне, защото това би довело до влошаване положението на "СИЕЛА НОРМА" АД, от която няма касационна жалба, а първоинстанционното решение е благоприятно за нея. От страна на Н. И., за когото съдебното решение е неблагоприятно, няма постъпила касационна жалба. С оглед изложеното постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. "СИЕЛА НОРМА" АД не претендира разноски, поради което такива не й се присъждат. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ АПК, Върховният административен съд, пето отделение