Решение № 12741 от 24.10.2017 г. на ВАС по адм. д. № 5234/2016 г.

Решение № 12741 от 24.10.2017 г. на ВАС по адм. д. № 5234/2016 г., V о., докладчик председателят Донка Чакърова Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Комисията за защита на личните данни (Комисията/КЗЛД) срещу решение № 1268/26.02.2016 г., постановено по адм. д. № 11210/2015 г. по описа на Административен съд С. - град (АССГ). Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено при нарушение на материалния закон и необоснованост - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска да бъде отменено обжалваното съдебно решение. Подробни съображения в подкрепа на твърдените касационни основания и исканията са изложени в касационната жалба. Претендира заплащане на разноски. Ответникът по касационната жалба "С. Г. Г." оспорва касационната жалба по съображения в писмен отговор и молба-становище. Претендира разноски. Ответникът по касационната жалба И. Д. П., редовно призован за съдебно заседание, не се е явил, не е изпратил представител и не е изразил становище по касационната жалба. Прокурорът от Върховна административна прокуратура заявява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество, е основателна. С обжалваното решение № 1268/26.02.2016 г., постановено по адм. д. № 11210/2015 г. по описа на АССГ е отменено по жалба на "С. Г. Г." ООД решение № Ж-132/19.10.2015 г. на Комисията за защита на личните данни, с което на основание чл. 42, ал. 1 от Закона за защита на личните данни (ЗЗЛД) по жалба на И. Д. П. е наложена имуществена санкция на "С. Г. Г." ООД в размер на 2000 лв. за извършено нарушение по чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД и са присъдени разноски. Административният съд е обосновал извода си незаконосъобразност на атакуваното пред него решение на КЗЛД въз основа на събраните по делото доказателства, от които е приел за установено, че решението на КЗЛД е действителен акт, издаден в предвидената от закона форма, при спазване на административнопроизводствените правила, но е необосновано и при постановяването му е нарушен материалният закон. АССГ изрично е обосновал извод, че решението на Комисията освен че е немотивирано и необосновано, защото не съдържа индивидуализация на нарушение на ЗЗЛД на "С. Г. Г." ООД, но и липсва нарушение по чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД, което да е извършено от това дружество, поради извършеното уведомление по чл. 99, ал. 3 от ЗЗД за осъществената цесия, изпратено на единствения известен адрес на И. П. Така постановеното решение е неправилно. По отношение на установената фактическа обстановка на практика не е налице спор между страните по делото и правилно е възприета от първата инстанция в съответствие с всички събрани по делото доказателства с изключение на няколко факта, които ще бъдат посочени изрично в настоящото решение, но самостоятелно не се отразяват върху изясняване на делото от фактическа страна, а и не са резултат от допуснати процесуални нарушения. Страните не спорят относно наличието на договор за мобилни и фиксирани телефонни услуги между И. П. и "Б." ЕАД, по който не са платени 13 месечни задължения. Според съдържанието на договор-заявка форма 1А П. се е съгласил и дава съгласието си "Б." ЕАД да предоставя личните му данни на трети лица с цел събиране на вземания. С договор за цесия № 30837/27.07.2012 г. вземането на "Б." ЕАД" към И. П. е прехвърлено на "С. Г. Г." ООД, като в тази връзка личните му данни са предадени от "Б." ЕАД на "С. Г. Г." ООД с приемо-предавателен протокол № 2 от 04.06.2012 г. За извършеното прехвърляне (цесия) са изпратени две съобщения до И. П., за които има данни, че са доставени до пощенската му кутия, от което АССГ е обосновал извод, че той е редовно уведомен, защото не е доказал по пътя на насрещното доказване смяна на адреса си. Този фактически извод на първата инстанция е формиран при неправилно разпределение на доказателствената тежест. Твърдението, че И. П. е уведомен за извършеното прехвърляне на задължението му и обстоятелството, че трето лице, на което той не е предоставил личните си данни ще ги получи, следва да бъде установено при условията на пълно доказване от лицето, което се позовава на този факт в случая "С. Г. Г." ООД, а не да бъде опровергаван от другата страна (И. П.). Получаването на уведомление е възможно да бъде установено с всички доказателствени средства, но от тях следва да се установи, че до знанието на лицето е достигнала съответната информация и не е достатъчно да се установи само, че са изпратени две писма до пощенската кутия на адреса, който лицето ползва обичайно и на този адрес е получавало други съобщения/призовки. Изпращането на съобщение не е възможно да бъде приравнено с получаването му и това разграничение е резултат от обичайната човешка логика, чийто правила също са нарушени при неправилното формиране на фактическия извод от АССГ, че И. П. е редовно уведомен за това, че личните му данни се обработват от администратор, на който той не ги е предоставил. Допълнително следва изрично да бъде посочено, че съдът е разглеждал изпращането на уведомление по чл. 99, ал. 3 от Закона за задълженията и договорите (за извършена цесия) като равнозначно на уведомление по чл. 20, ал. 1 от ЗЗЛД, без да отчита разликата, която съществува между тези две уведомления, произтичащи от различните правоотношения и правата, които защитават. В единия случай отношенията са облигационни и се развиват между равнопоставени правни субекти, а в другия административни и неизпълнението на задължението за защитата на личните данни на физическите лица е скрепено с административна санкция. Съгласно чл. 20 от ЗЗЛД когато личните данни не са получени от физическото лице, за което те се отнасят, администраторът или негов представител му предоставя: 1. данните, които идентифицират администратора и неговия представител; 2. целите на обработването на личните данни; 3. категориите лични данни, отнасящи се до съответното физическо лице; 4. получателите или категориите получатели, на които могат да бъдат разкрити данните; 5. информация за правото на достъп и правото на коригиране на събраните данни. Уведомлението за цесия (л. 49 от адм. д. 11210/2015 г. по описа на АССГ) е изготвено от "С. Г. Г." ООД като е посочено, че действа като пълномощник на "Б." АД, а не в лично качество като администратор на лични данни, които не са получени от физическото лице, за което се отнасят. Уведомлението е за извършена цесия, а не по чл. 20, ал. 1 от ЗЗЛД и независимо, че в него има данни, които идентифицират администратора, то не дава яснота на физическото лице, че той обработва негови лични данни, както и с каква цел доколкото в него се съдържа много обобщена информация относно извършената цесия и предмета на дейност на "С. Г. Г." ООД. Липсват въобще информация относно получателите или категориите получатели, на които могат да бъдат разкрити данните и информация за правото на достъп и правото на коригиране на събраните данни. Независимо, че за последните две обстоятелства не е наложена санкция с отмененото от АССГ решение на КЗЛД липсата им е показателна за възприемане на уведомлението за цесия именно като такова, каквото е посоченото наименование, а не като уведомление по чл. 20 от ЗЗЛД. По изложените съображения настоящият съдебен състав намира изводът на АССГ наличие на уведомление по чл. 20 от ЗЗЛД за необоснован от събраните по делото доказателства и в противоречие с материалния закон. Този неправилен извод е довел и до неправилност на съдебното решение доколкото с него е отменено решение на КЗЛД, в което правилно и обосновано е прието за установено извършено нарушение от "С. Г. Г." ООД, изразяващо се именно в обработване на личните данни на И. П. без той да ги е предоставил на дружеството и без то да го е уведомило за предприемане на действия по обработването им. Аргументирано Комисията приема, че в случая от страна на "С. Г. Г." ООД е допуснато нарушение на чл. 20, ал. 1 от ЗЗЛД. Разпоредбата задължава администратора на лични данни, когато не е получил данните от физическото лице, за което те се отнасят, да предостави на това лице информация, която идентифицира администратора и неговия представител и такава за целите на обработването на личните данни (чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД), а при преценка, че това е необходимо и сведения относно категориите лични данни, отнасящи се до съответното физическо лице, получателите или категориите получатели, на които могат да бъдат разкрити данните, както и такива за правото на достъп и правото на коригиране на събраните данни (арг. от чл. 21 вр. чл. 20, ал. 1, т. 3 - т. 5 от ЗЗЛД). В случая по делото е установено, че "С. Г. Г." ООД при обработване на личните данни на И. П. като администратор на лични данни, които са му предоставени от друг администратор на лични данни ("Б." АД), който ги е получил от физическото лице. Този извод е направен в акта на комисията и се установява от събраните по делото доказателства, а и на практика не се оспорва от "С. Г. Г." ООД доколкото то поддържа евентуални становища, че е изпълнил изискванията на чл. 20 от ЗЗЛД чрез телефонни разговори на негови служители с И. П., а и евентуално липсата на възникнало за него задължение за уведомяване по аргумент от чл. 20, ал. 3 от ЗЗЛД. Тези съображения, развити и в отговора по касационната жалба могат да бъдат възприемани само като неоспорване на приетото от КЗЛД, че "Г. С. Г." ООД обработва данните на И. П. в качеството на администратор на лични данни, който не е получил данните от физическото лице, за което те се отнасят, но обработва същите съгласно § 1, т. 1 от ЗЗЛД. Следователно за него е възникнало задължението, предвидено в чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД, а именно да представи на И. П. данните, които идентифицират администратора и неговия представител и целите на обработването на личните данни. В уведомлението за цесия, изпратено от "С. Г. Г." ООД на адреса на И. П., е посочен ЕИК на дружеството и идентификационния му номер като администратор на лични данни, но не и ясна цел на обработването и то на какви данни. Това уведомление не е получено от И. П., а доказано само изпращането с непрепоръчано писмо. По този начин изпращането на уведомление за цесия не покрива изискванията на чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД за уведомяване от администратор на лични данни на физическото лице, чийто данни обработва без да ги е получило от него. Действително е без правно значение как се развиват облигационните отношения между страните с оглед липсата на уведомяване за цесията, но на практика невръчването на това съобщение води до пълна липса на писмено уведомяване по чл. 20, ал. 1 от ЗЗЛД. По отношение на доводите на "БГ. С. Г." ООД за уведомяване по телефона по делото няма никакви преки доказателства и липсва такъв фактически извод от АССГ, които при условията на чл. 220 от АПК да бъде преценен от настоящата инстанция. Съгласно чл. 20, ал. 3 от ЗЗЛД ал. 1 не се прилага, когато: 1. обработването е за статистически, исторически или научни цели и предоставянето на данните по ал. 1 е невъзможно или изисква прекомерни усилия; 2. вписването или разкриването на данни са изрично предвидени в закон; 3. физическото лице, за което се отнасят данните, вече разполага с информацията по ал. 1; 4. е налице изрична забрана за това в закон. Очевидно предпоставките на чл. 20, ал. 3, т. 1, 2 и 4 не кореспондират с нито един от установените по делото факти. Според твърденията в писмения отговор по касационната жалба физическото лице, за което се отнасят данните, вече разполага с информацията поради "елементарната логика, че ако договорът между страните за предоставяне на мобилна услуга съдържа съгласието на И. П. данните да му се предоставят за обработване на трето лице във връзка със събиране на вземания срещу него", то той следва да я наясно с "възможността личните му данни да са прехвърлени на агенция за събиране на вземания, каквато е "С. Г. Г." ООД." Договорът за предоставяне на мобилна услуга не съдържа изричното съгласие на И. П. неговите лични данни да бъдат предоставени именно на "С. Г. Г." ООД, а абстрактно на трето лице за събиране на вземанията на "Б." АД към него, поради което не е възможно да се приеме наличието на знание по смисъла на чл. 20, ал. 3, т. 3 от ЗЗЛД именно по отношение този администратор на лични данни, което да го освобождава от задължението да уведоми физическото лице за обработването. Като е достигнал до противоположен правен извод относно наличието на нарушение от страна на "С. Г. Г." ООД, АССГ е постановил неправилно съдебно решение, което на основание чл. 221, ал. 2 от АПК следва да бъде отменено, а вместо него да бъде постановено друго. Правилно в останалата част на обжалваното съдебно решение е прието, че оспореното решение на КЗЛД е действителен административен акт, издаден при спазване на процесуалните изисквания на закона и в упражняване на служебните задължения на комисията. Необосновано АССГ приема, че в оспореното решение на Комисията липсват мотиви. Решението е обосновано с фактически и правни съображения, от които следва еднозначен извод, че "С. Г. Г." ООД е допуснало нарушение по смисъла на чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД при обработването на личните данни на И. П. като администратор на лични данни, които не са получени от физическото лице. Определеният размер на имуществената санкция е в рамките на закона и съответства на извършеното нарушение, поради което след отмяна на решението на АССГ трябва да бъде отхвърлена жалбата на "С. Г. Г" ООД против законосъобразното решение на КЗЛД. По водене на делото Комисията не е направила разноски, но е представлявана от юрисконсулт, поради което с оглед изхода на спора има право на разноски в размер на 200 лв. Другата ответна страна не е направила разноски и не претендира, поради което не следва да бъдат определяни разноски в нейна полза. По изложените съображения Върховният административен съд