Решение № 3033 от 24.3.2025 г. на ВАС по адм. д. № 10003/2022 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Постъпила е касационна жалба с вх. 2982/18.08.2022 г. от Агенция по вписванията (АВ), представлявана от изп. директор Д. Митева чрез процесуалния си представител юрк. И. Иванов, срещу Решение 302/29.07.2022 г. на Административен съд Добрич, постановено по адм. дело 201/2022 година. Касаторът излага доводи за неправилност на обжалваното решение поради нарушаването на материалния закон, както и поради извършени съществени нарушения на съдопроизводствените правила. По-конкретно в касационната жалба се акцентира върху обстоятелството, че първоинстанционният съд неправилно е квалифицирал АВ като администратор на лични данни по смисъла на § 4, т. 7 от Регламент (ЕС) 2016/679 (Регламента), доколкото АВ била само получател на такива съгласно чл. 4 ,т. 9 от Регламента. Причината за това била, че функцията на АВ в рамките на регистърното производство се свеждала до обявяване на оповестени от заявителя (в конкретния случай Прайм Дейта Протекшън ООД) лични данни в обявения в Търговския регистър дружествен договор, по отношение на които АВ не разполагала с правната възможност или правомощие, служебно или по искане на субекта на данни, да ограничава обработването им. Освен това се твърди, че писмото на АВ до субекта на данни предмет на първоинстанционното производство, не подлежало на обжалване, доколкото не представлявало отказ за упражняване на правото на изтриване по чл. 17 от Регламента и не представлявало административен акт. Представено е към касационната жалба и становище на Комисия за защита на личните данни (КЗЛД) от 01.02.2021 година. Претендира се заплащане на юрисконсултско възнаграждение. Ответникът по касационната жалба Т. Н. Д. е подала отговор в законоустановения срок, в който излага подробни аргументи за неоснователност на касационната жалба. Иска отправяне на преюдициално запитване до СЕС по тълкуването на редица, считани от него за относими към настоящото производство разпоредби от Регламента. Претендира разноски. Прокурорът Камелия Николова, изразява становище за неоснователност на касационната жалба. Постъпила е и молба от касатора от 16.01.2025г., с която се излагат доводи за отпаднал правен интерес за водене на делото, предвид преустановяване на бездействието на АВ по искането за заличаване на данните от страна на субекта на данните. Представен е и обявения в Търговския регистър нов вариант на процесния дружествен договор, със заличени лични данни на субекта на данните -Т. Д.. Последната не изразява становище по молбата. След като взе предвид доводите на страните и прецени установените факти и обстоятелства от първоинстанционния съд, настоящият съдебен състав намира следното: Касационната жалба е процесуално допустима като подадена в срок от лице с правен интерес, за което обжалваният съдебен акт се явява неблагоприятен. Разгледана по същество жалбата е неоснователна. Предмет на първоинстанционното производство е било писмо на изпълнителния директор на АВ с изх. 66-00-232/28.03.2022 г., постановено във връзка със заявление с вх. рег. 66 00 232/ 17.03.2022 г. за изтриване на личните данни на ответника по касационната жалба - Т. Н. Д. (ЕГН, номер на лична карта, дата на издаването й, дата на валидността й, постоянен адрес и подпис) същите, обективирани в публикувания в търговския регистър сканиран препис от дружествен договор по партидата на Прайм Дейта Протекшън ООД. Заявлението е било подадено от субект на данни по смисъла на член 4, точка 1 от Регламента, ползващ се с правата по чл. 15-22 от Регламента. С горепосоченото писмо АВ е уведомила субекта на данните, че няма нито правната, нито техническата възможност да заличи данните, доколкото не се явява администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента, а само получател на такива съгласно чл. 4, т. 9 от Регламента. Видно от процесното писмо, АВ се е аргументирала, че доколкото получава личните данни на физически лица ( съдружници, еднолични собственици на капитала и др.) и е длъжна да ги обработи по предвидения от приложимите нормативни актове ред във вида, в който същите са подадени, като впише заявените обстоятелства и публикува онези от тях, за които това е предвидено. Въз основа на тези доводи, издателят на оспорваното писмо е уведомил заявителката за считания от него приложим ред за заличаването на данни посочил е, че същата, в качеството си на органен представител на Прайм дейта протекшън ООД, е следвало да представи заверен препис на дружествения договор, обявен в търговския регистър, в който личните данни са заличени, с изключение на информацията, за която със закон се изисква да бъде обявена в търговския регистър. Дадени са и указания, че посоченият препис от дружествения договор със заличени лични данни следва да бъде представен към подаденото от заявителката заявление. При така установените по-горе факти, съдът е квалифицирал оспорваното писмо като индивидуален административен акт изричен отказ по смисъла на чл. 21, ал.1 АПК и е разгледал спора по същество. За да постанови обжалваното решение първоинстанционният съд е приел, че отказът за заличаване на лични данни или поставянето на условие за извършване на това действие от АВ като администратор на лични данни противоречи на разпоредбите на чл. 7, т. 3, пр. 1 и чл. 17, т. 1, б. б , пр. 1 от Регламента, поради което агенцията незаконосъобразно е указала необходимостта от подаване на заверен препис от дружествения договор със заличени лични данни. Съдът е приел, че при наличието на изрично заявено оттегляне на съгласието и при липсата на някое от изключенията, предвидени в чл. 17, т. 3 от Регламента, АВ в нарушение на императивните разпоредби на чл. 2, ал. 2 от ЗТРРЮЛНЦ и чл. 17, т. 1, б. б от Регламента е отказала да изтрие/заличи публикуваните лични данни на Д. извън трите й имена в дружествения договор, обявен по партидата на Прайм делта протекшън ООД. Решението е валидно, допустимо и правилно. По отношение на доводите за материална незаконосъобразност на решението, настоящият съдебен състав намира следното: Правилно и законосъобразно първоинстанционният съд е разгледал по същество жалбата срещу оспорваното писмо. Съгласно чл. 21, ал. 1 от АПК индивидуален административен акт е изричното волеизявление или изразеното с действие или бездействие волеизявление на административен орган или на друг овластен със закон за това орган или организация, лицата, осъществяващи публични функции, и организациите, предоставящи обществени услуги, с което се създават права или задължения или непосредствено се засягат права, свободи или законни интереси на отделни граждани или организации, както и отказът да се издаде такъв акт. А според чл. 21, ал. 4 от АПК индивидуален административен акт е и отказът на административен орган да извърши или да се въздържи от определено действие. Може да се заключи от съдържанието на оспорваното писмо, че АВ е отказала да уважи искането на заявителката да извърши действие по заличаване на личните данни на заявителката, като по този начин е бил издаден изричен отказ по смисъла на чл. 21, ал. 4 от АПК от нейна страна, в качеството си на административен орган. С този отказ са засегнати правата и законните интереси на субекта на данните, поради което същият подлежи на съдебен контрол (в този смисъл е преобладаващата практика на ВАС; вж. Решение 61 от 06.01.2022 г. по адм.д. 7888/2021 г., V отд. на ВАС). За да коментира съответствието с Регламента на разрешенията на първоинстанционния съд, дадени по съществото на спора в това число и дали АВ има качеството администратор на лични данни, настоящият съдебен състав счита, че следва да бъде отбелязано следното обстоятелство. Във връзка с направено преюдициално запитване от съдебен състав на ВАС, е постановено Решение от 04.10.2024 г. по С-200/23 г. на първи състав на СЕС (решението на СЕС). Съгласно чл. 633 от ГПК, приложим на основание чл. 144 от АПК решенията на СЕС по преюдициални запитвания са задължителни за всички съдилища и учреждения в Република България. В т. 2 от Решението на СЕС е прието, че Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), и в частност член 4, точки 7 и 9 от него, трябва да се тълкува в смисъл, че органът, на който е възложено воденето на търговския регистър на държава членка и който публикува в този регистър личните данни, съдържащи се в дружествен договор, който подлежи на задължителното оповестяване по Директива 2017/1132 и му е предоставен във връзка със заявление за вписване на съответното дружество в регистъра, е както получател на тези данни, така и в частност доколкото ги обявява техен администратор по смисъла на тази разпоредба, включително когато договорът съдържа лични данни, които не се изискват от Директивата или от правото на тази държава членка. В допълнение към горното, Съдът на Европейския съюз е изяснил в т. 75 от мотивите на постановеното от него решение, че когато вписва и съхранява лични данни, получени във връзка със заявление за вписване на дружество в търговския регистър на държава членка, когато в съответните случаи съобщава тези данни на трети лица при поискване и когато ги публикува в държавния вестник или чрез друго равностойно средство, органът, на който е възложено воденето на този регистър, извършва действия по обработване на лични данни, във връзка с които се явява администратор по смисъла на член 4, точки 2 и 7 от ОРЗД. В т. 3 от Решение от 04.10.2024 г. по С-200/23 г. на СЕС е посочено, че Директива 2017/1132, и по-конкретно член 16 от нея, както и член 17 от Регламент 2016/679 трябва да се тълкуват в смисъл, че не допускат правна уредба или практика на държава членка, която предполага органът, на който е възложено воденето на търговския регистър на тази държава членка, да отхвърля всяко искане за изтриване на неизисквани от Директивата или правото на държавата членка лични данни, съдържащи се в публикуван в регистъра дружествен договор, когато в противоречие с предвидените в тази уредба процесуални правила не му е предоставен препис от договора със заличаване на тези данни. С оглед на горното, според настоящия съдебен състав, първоинстанционният съд е постановил решението си в съответствие с дадените от СЕС разрешения, квалифицирайки АВ като администратор на лични данни по смисъла на член 4, т.7 от Регламента и отменяйки незаконосъобразния й отказ. Макар към момента на постановяване на оспорваното решение да не е било налице произнасяне на СЕС по гореизложените преюдициални въпроси, първоинстанционният съд правилно е обосновал незаконосъобразността на оспорвания пред него изричен отказ за заличаване на лични данни в Търговския регистър, черпейки редица аргументи от националното право. По-конкретно същият е аргументирал своето виждане, като е изходил от правилото на чл. 2, ал.2 ЗТРРЮЛНЦ, предвиждаща актовете по чл. 2, ал.1 ЗТРРЮЛНЦ да се обявяват без информацията, представляваща лични данни по смисъла на чл. 4, т. 1 от Регламента, с изключение на информацията, за която със закон се изисква да бъде обявена. Следователно в изпълнение на диспозицията на това правило е посочил, че АВ има задължение по чл. 7, т. 1 от Регламента да заличи данните или преди обявяване на акта да изиска недвусмислено изразено съгласие от субекта на данните. След като съгласието на субекта на данните в процесния случай не е било изразено недвусмислено, то обработването им от АВ е незаконосъобразно по арг. от чл. 6 и чл. 7, т. 2 от Регламента. Доколкото настоящият състав споделя гореизложените съображения, заедно с подробната им аргументация от първоинстанционния съд, препраща към тях на основание чл. 221, ал. 2, изр. второ от АПК. По отношение на наведеното от касатора оплакване за допуснати съществени процесуални нарушения пред първата инстанция, Върховният административен съд счита, че същото се явява неоснователно. За да се приеме, че са налице допуснати съществени процесуални нарушение в рамките на първоинстанционното производство, следва съдът да е извършил такова нарушение на процесуалните правила, което е повлияло или е могло да повлияе върху съдържанието на акта. С други думи казано - такова нарушение, недопускането на което е можело да доведе до друго разрешение на поставения въпрос. Такава хипотеза в настоящия случай не е налице. Наведените от касатора процесуални действия на съда не представляват нарушения на процесуалния закон, още повече съществени такива. Съдът законосъобразно е оставил искането на АВ за конституирането на Прайм дейта протекшън ООД като страна без уважение, тъй като дружеството не би могло да бъде заинтересовано лице, в каквото качество би могло да бъде привлечено в процеса, предвид факта, че няма как да бъдат засегнати негови права и законни интереси арг. от чл. 147 от АПК. Освен това АС-Добрич правилно е отхвърлил доказателственото искане по чл. 190 от ГПК относно задължаването на Прайм дейта протекшън ООД да представи дружествен договор със заличени данни, доколкото същото се явява неотносимо към разрешаването на правния спор. Що се касае до твърденията на касатора за наличие на отпаднал правен интерес за водене на делото, поради преустановяване на бездействието му по повод направеното от субекта на данни искане за заличаване на данните й в процесния дружествен договор, трябва да бъдат уточнено от правна страна следното: В процесния случай е възникнала хипотеза на прекратяване на незаконното бездействие на администратора на лични данни, а не оттегляне на оспорения административен акт като процесуално действие с правните последици на чл. 156 от АПК. Оттеглянето на административния акт и прекратяването на незаконните действия или бездействия на административния орган се отличават по своето правно естество и последици. Оттеглянето на административния акт го заличава в правния мир, както и породените от него правни последици, с обратна сила, т.е. отпадат придобитите права и създадени задължения, докато прекратяването на незаконните действия или бездействия на административния орган има действие занапред. При първата хипотеза правните последици са десезиране на съда с правния спор поради липса на предмет и е налице основанието по чл. 159, т. 3 от АПК за прекратяване на производството, а при втората - за жалбоподателя вече не е налице правен интерес от търсената съдебна защита, което е абсолютна пречка по чл. 159, т. 4 от АПК за продължаване на съдебното производство. Общото в двете хипотези е, че засегнатите лица имат право на разноски и могат да претендират обезщетение за претърпените вреди. Тези обстоятелства обаче са релевантни, когато предмет на проверка е оспорване законосъобразността на административния акт или действие. В случая предмет на проверка от първоинстанционния съд е дали са нарушени правата на засегнатото лице при обработване на личните му данни от действия на администратора на лични данни и по какъв начин. Релевантно е дали изобщо са публикувани лични данни, съставлява ли това действие нарушение при обработване на личните му данни и ако се установи нарушение, тогава анонимизирането на личните данни в по-късен момент би имало значение за основателността и размера на претенцията за обезщетение по чл. 39, ал. 2 от ЗЗЛД. За допустимостта на сезирането на съда по чл. 39, ал. 1 от ЗЗЛД законодателят е поставил като единствено условие да не е налице висящо производство пред Комисията за защита на личните данни за същото нарушение. Ето защо, всеки субект, който счита, че са нарушени правата му по този закон в резултат на обработване на личните му данни, по начин, който не е в съответствие със законовите правила, може да сезира съда с жалба по реда и на основание чл. 39, ал. 1 от ЗЗЛД, без значение източника на нарушение административен акт, административно производствено волеизявление или действие по чл. 21, ал. 5 от АПК или фактическо действие. Предвидената правна възможност за физическите лица да сезират съда с жалба по чл. 39, ал. 1 от ЗЗЛД не е обвързана с условие твърдяното незаконосъобразно действие да продължава към момента на висящия съдебен спор било то пред първата или пред касационната инстанция. Предмет на проверка по съществото на спора в производството по чл. 39, ал. 1 от ЗЗЛД е установяването дали актът или действието на администратора на лични данни е съответно на законовия регламент за защита на личните данни, и ако съдът установи нарушение, да осъди администратора на лични данни да отстрани същото, ако все още продължава (в този смисъл Определение 927 от 23.01.2019 г. по адм. д. 13512/2018 г. на ВАС, Решение 17100 от 13.12.2019 г. по адм. д. 12406/2018 на ВАС). Съобразно изхода на спора следва да бъдат присъдени на основание чл. 143, ал. 3 вр. с чл. 228 от АПК разноски за водене на делото пред касационната инстанция на ответника по касационната жалба Т. Д., в размер на 1000 (хиляда) лева сума, представляваща заплатено адвокатско възнаграждение. Воден от гореизложеното и на основание чл. 221, ал. 2, изречение първо, предл. първо от АПК, Върховният административен съд, пето отделение,