Решение № 5581 от 28.5.2025 г. на ВАС по адм. д. № 1817/2025 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Комисията за защита на личните данни (КЗЛД, Комисията), чрез процесуален представител, срещу Решение 1229 от 13.01.2025 г., постановено по административно дело 7456/2024 г. от Административен съд София град (АССГ), с което е отменено Решение ПАИКД-13-70/2022 г. от 04.07.2024 г. на КЗЛД и преписката е изпратена на органа за ново произнасяне, при спазване на дадените указания. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска отмяната му и претендира разноски за юрисконсултско възнаграждение, като прави възражение за прекомерност на евентуално претендирано от ответника адвокатско такова. Ответникът по касационната жалба Народното събрание /НС/ на Република България, чрез процесуален представител, в писмен отговор и съдебно заседание, оспорва същата като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за юрисконсултско възнаграждение. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд (ВАС), състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Обжалваното решение е валидно и допустимо постановено е в предвидената от закона форма, от компетентния съд, след надлежно сезиране с жалба против административен акт от лице, чийто интереси са засегнати с него. Предмет на проверка за законосъобразност пред АССГ е Решение ПАИКД-13-70/2022 г. от 04.07.2024 г. на КЗЛД, с което на основание чл. 58, пар. 2, буква б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД; Регламент 2016/679; Регламента), за нарушение на чл. 5, пар. 1, буква е, вр. чл. 32, пар. 1, буква б и буква г, е наложена принудителна административна мярка официално предупреждение на Народното събрание, в качеството му на администратор на лични данни за допуснато нарушение на разпоредбите на Регламента, изразяващо се в допускането на неразрешен достъп до лични данни в обем - три имена, длъжност и саморъчните подписи на авторите на документите и други служители, съдържащи се в публикувани на външен сайт (дискусионната страница на Сдружение БОЕЦ) 8 документа - цветни копия на одитни доклади, становища, докладни записки и др., изготвени от администрацията на НС. Първоинстанционният съд, след извършената проверка за законосъобразност приема, че оспореният пред него административен акт е издаден от компетентен орган, но в нарушения на изискванията за неговата форма (чл. 59, ал. 2, т. 4 и т. 5 АПК) и при допуснати съществени нарушения на административнопроизводствени правила - отменителни основания по чл. 146, т. 2 и т. 3 АПК, както и при необоснованост, довела до неправилно приложение на материалния закон. Решението е законосъобразно. Правилно е прието от първоинстанционния съд, че администратор на лични данни безспорно в случая е Народното събрание, като последното определя целите и средствата за обработването на лични данни по смисъла на чл. 4, т. 7 от Регламента. Няма съмнение в настоящата хипотеза, че процесните пред АССГ лични данни в обем: три имена, длъжности и подписи, публикувани на дискусионната страница на Сдружение БОЕЦ, действително попадат в обхвата на лични такива по смисъла на чл. 4, т. 1 от Регламент 2016/679, а именно същите са информация, свързана с физически лица, които може да бъда идентифицирани (субекти на данни). Същественият въпрос в конкретния случай обаче, както правилно е разгледал АССГ, е дали Народното събрание като администратор на лични данни е нарушило разпоредбата на чл. 5, пар. 1, буква е, вр. чл. 32, пар. 1, буква б и буква г, като е допуснало нерегламентиран достъп до процесните лични данни, вследствие на неосигуряването на подходящо ниво на сигурност на същите, обективирано в предприети действия за защита на сървърите си. В тази връзка настоящият съдебен състав споделя изводите на първоинстанционния такъв за наличие на противоречия при постановяването на оспореното пред него решение на КЗЛД. В случая е безспорно установено, че публикуваните на сайта на сдружението 8 документа, представляват цветни копия на оригиналите, а не копие на документите, съхранявани в електронен вид в Интегрираната информационна система /ИИС/ на НС, тъй като последните се сканират в системата черно-бяло. Горното води до извод, че не липсата на подходяща защита на системата е довела до достъпа до тези документи, което се потвърждава и от извършените проверки, резултатите, от които показват предприети множество и достатъчно мерки, както по отношение на криптографска защита и защита на мрежата, така и по отношение на физическата защита. Последните са описани подробно от административния съд и не следва да бъдат преповтаряни в настоящото изложение, но същите безспорно противоречат на изводите, посочени от органа като причина за постановения от него резултат. В тази връзка следва да се отбележи, че Комисията е приела, че липсва механизъм за установяване на конкретното лице, което е достъпвало, разпечатило и предало документите за публикуването им на уебсайта, както и, че този пропуск може да се преодолее при наличието на конфигуриран PaperCut сървър или друго софтуерно решение, което да служи за сигурност, контрол и управление на печатната среда, както и ИИС на НС да е конфигурирана да идентифицира конкретен файл, на кой компютър (работна станция) е отворен, дали същият е принтиран и/или качен на преносим носител. Всичко това би било полезно и относимо към хипотеза, при която дадените документи са достъпени от системата и същите са разпечатани и предадени на трето лице. Настоящата хипотеза обаче не е такава, тъй като, както се посочи по-горе, публикуваните документи на страницата на сдружението са цветни, а тези в ИИС на НС черно-бели, което води до безспорно заключение, че достъпването на данните не е извършено чрез системата. В тази връзка е правилен изводът на административният съд, че липсва мотивиране за това защо, въпреки констатираните предприети множество действия с цел осигуряване на мрежовата и физическата защита от НС, е наложена корективната мярка по чл. 58, пар. 2, от Регламент /ЕС/ 2016/679 и съображения за това как чрез нея ще се постигне целта, преследвана с посочената норма и посочена в т. 40 от Решение на СЕС по дело C-46/23 от 14.03.2024 г. - чрез намесата на националните надзорни органи да се гарантират съответствието на обработването на лични данни с този регламент и отстраняването на нарушения на последния, за да се постигне съответствие с правото на Съюза. В заключение следва да се отбележи, че напълно правилен и обоснован е изводът на административния съд, относно възможността за прилагане на допуснатото с т. 43 на Решение на СЕС от 26 септември 2024 година по дело C-768/21 изключение, при което при особени обстоятелства на конкретния случай надзорният орган може да се въздържи от приемането на корективна мярка, въпреки че е установено нарушение на сигурността на личните данни. Такъв би могъл да бъде по-специално случаят, когато установеното нарушение не е продължило, например когато администраторът, който по принцип е приложил подходящи технически и организационни мерки по смисъла на член 24 от ОРЗД, веднага след като е узнал за това нарушение, е предприел подходящи и необходими мерки, за да се преустанови посоченото нарушение и за да не бъде отново извършено, като се имат предвид задълженията му, произтичащи по-специално от член 5, параграф 2 и член 24 от този регламент. Настоящият съдебен състав, подобно на първоинстанционния такъв счита, че настоящата хипотеза попада в обхвата на предходно цитираното, като същото не е разгледано от административния орган като евентуално приложимо. При постановяването на обжалваното пред настоящия състав решение не са допуснати нарушения на съдопроизводствените правила, като са съобразени всички доказателства, същите са анализирани правилно и е постановен мотивиран съдебен акт, съобразен с изискванията на чл. 172а АПК. Решението е обосновано, като въз основа на правилно установените от съда обстоятелства, са възприети мотивирани и логически издържани правни изводи. Неоснователни са наведените доводи за неяснота на дадените указания за излагане на конкретни мотиви при новото разглеждане на преписката. На първо място посоченото не съставлява касационно основание по чл. 209 АПК, а освен това наведеният довод не кореспондира със съдържанието на решението, в което след извършения обстоен анализ са дадени конкретни и ясни указани, а именно след изясняване на всички относими обстоятелства, предмет на проверката от КЗЛД, в акта да бъдат посочени фактическите и правни основания за постановяването му и по-конкретно такива свързани с това , дали с оглед на тези обстоятелства се налага приложение на мярка по чл. 58, ал.2 ОРЗД, при съобразяване на критериите посочени в решението по дело С-768/21 на СЕС. Предвид изложеното, настоящият съдебен състав на ВАС приема, че обжалваното решение е правилно и следва да бъде оставено в сила, като постановено при отсъствие на касационни основания за отмяна. С оглед изхода на спора няма правна възможност за присъждане на претендираните от касатора разноски. На ответника по касация следва да бъдат присъдени такива за юрисконсултско възнаграждение за производството пред ВАС, като с оглед фактическата и правна сложност на делото, както и направеното от касатора възражение за прекомерност, същото се определя в размер на 100 /сто/ лева на основание чл. 78, ал. 8 от ГПК вр. чл. 144 от АПК, вр. чл. 37 от Закона за правната помощ, вр. чл. 24 от Наредбата за заплащането на правната помощ, платимо от касатора. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение