Решение № 10868 от 29.11.2022 г. на ВАС, V о.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Агенцията по вписванията (АВ), чрез процесуалния й представител юрисконсулт С. Стойчев, допълнително уточнена чрез процесуалния представител юрисконсулт И. Иванов, против Решение 3254 от 13.05.2022 г., постановено по адм. дело 8825/2021 г. на Административен съд - София-град (АССГ), с което е отменен мълчалив отказ на АВ като администратор на лични данни да се произнесе по заявление вх. 66-00-809 от 21.07.2021 г., подадено от Н. Недков и съдът е изпратил преписката на АВ за произнасяне по цитираното заявление в сроковете по чл. 12, ал. 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните, ОРЗД, Регламента), съобразно указанията на съда в мотивите на решението. В касационната жалба са развити доводи за неправилност на съдебното решение поради неправилно приложение на материалния закон и необоснованост на изводите на съда - отменително основание по чл. 209, т. 3 от АПК. Сочи се, че съдът неправилно е приел, че е налице мълчалив отказ по заявлението, с което Н. Недков е поискал заличаване на личните му данни, съдържащи се в публикуваните по партидата на "Аватар ъф джъстис" ООД данни, тъй като заявителят не е поискал издаването на индивидуален административен акт, а извършването на фактически действия по заличаване на данните. Редът за защита не е по реда на чл. 39 от Закона за защита на личните данни (ЗЗЛД), а по реда на чл. 256 от АПК. На второ място се твърди, че съдът неправилно е приложил нормите на ЗЗЛД и на Закона за търговския регистър и регистъра на юридическите лица с нестопанска цел (ЗТРРЮЛНЦ), както и на ОРЗД като е приел, че АВ има качеството на администратор на лични данни. Такова качество има дружеството "Аватар ъф Джъстис" ООД, а АВ има качеството на получател на данните, съответно заявителят е следвало да отправи искането си до търговското дружество, което следва да представи в рамките на регистърното производство за вписване акт със заличени лични данни, при съобразяване на нормата на чл. 119, ал. 2, във вр. с чл. 115, ал. 2 от Търговския закон (ТЗ), които определят изискуемия по закон обем на данните, които задължително следва да бъдат обявени в Търговския регистър. В тази връзка касаторът се позовава на Становище с рег. ПНМД -01-116(20)/2021 на Комисията за защита на личните данни (КЗЛД), в което са развити съображения в посочения смисъл. Иска се отмяна на решението и присъждане на разноските за двете съдебни инстанции. Ответникът по касационната жалба - Н. Недков, в писмен отговор, чрез пълномощника си адв. Т. Димитрова, оспорва касационната жалба по подробно развитите доводи и моли да бъде отхвърлена като неоснователна. Претендира присъждане на направените по делото разноски. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, след като прецени данните по делото и доводите на страните, приема за установено следното: Касационната жалба е подадена от надлежна страна, против подлежащ на оспорване съдебен акт, който е неблагоприятен за нея, както и в рамките на преклузивния срок по чл. 211, ал. 1 от АПК, поради което е процесуално допустима. Разгледана по същество е неоснователна. Първоинстанционният АССГ е сезиран с оспорване на мълчалив отказ на АВ като администратор на лични данни да се произнесе по заявлението на Н. Недков да бъдат заличени негови лични данни, като съдружник в посоченото в заявлението дружество. Решаващият съд е събрал релевантните за спора доказателства, които е обсъдил и вярно и точно е установил фактите по спора като по фактическите му установявания не се спори понастоящем. Съдът е приел за установено, че Недков е подал заявление с вх. 66-00-809 / 21.07.2021 г. до АВ като администратор на лични данни да бъдат заличени негови лични данни като съдружник в дружеството "Аватар ъф Джъстис" ООД,, достъпни в публичното пространство в Търговския регистър, в публикувания в пълнота в графа Актуален учредителен акт дружествен договор на дружеството, а именно имена, ЕГН, номер на лична карта, дата на издаването й и валидност, постоянен адрес. В заявлението е посочено, че иска заличаването им, а ако се приеме, че публикуването на личните данни е извършено въз основа на чл. 13, ал. 9 от ЗТРРЮЛНЦ, то той оттегля съгласието си личните данни да бъдат обработвани чрез публикуването им. АВ като администратор на лични данни не се е произнесла в едномесечен срок, поради което Недков е сезирал АССГ. При тези фактически данни, от правна страна първоинстанционният съд е приел, че публикуваните в Търговския регистър данни на жалбоподателя, съдържащи се в дружествения договор по партидата на посоченото дружество, са "лични данни" по смисъла на чл. 4, § 1 от ОРЗД. Посочил е, че нормата на чл. 17 от ОРЗД озаглавена "Право на изтриване (право "да бъдеш забравен"), определя в § 1, че субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените в нормата основания, цитирани в решението. Според чл. 17, § 2 от ОРЗД, когато администраторът е направил личните данни обществено достояние и е задължен съгласно § 1 да изтрие същите, като отчита наличната технология и разходите по изпълнението, да предприеме разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване от тези администратори на всички връзки, копия или реплики на тези лични данни. В чл. 17, § 3 ОРЗД се изключва приложението на горните правила доколкото обработването е необходимо: a) за упражняване на правото на свобода на изразяването и правото на информация; б) за спазване на правно задължение, което изисква обработване, предвидено в правото на Съюза или правото на държавата членка, което се прилага спрямо администратора или за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; в) по причини от обществен интерес в областта на общественото здраве в съответствие с член 9, § 2, букви з) и и), както и член 9, § 3; г) за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, § 1, доколкото съществува вероятност правото, установено в параграф 1, да направи невъзможно или сериозно да затрудни постигането на целите на това обработване; или д) за установяването, упражняването или защитата на правни претенции. С оглед цитираната нормативна рамка, съдът е посочил, че искането, с което е сезирана АВ представлява упражняване от страна на заявителя на правото му на изтриване на лични данни, изрично регламентирано в член 17 от ОРЗД., като при упражняване на дейността по чл. 3, ал. 1 от ЗТРРЮЛНЦ, АВ действа в качеството на администратор на лични данни и като такъв ги обработва. Търговският регистър и Регистърът на юридическите лица с нестопанска цел представлява обща електронна база данни, съдържаща обстоятелствата, вписани по силата на закон, и актовете, обявени по силата на закон, за посочения в нормата кръг лица, съгласно чл. 2, ал. 1 от ЗТРРЮЛНЦ. Според ал. 2 на същия член обстоятелствата и актовете по ал. 1 се обявяват без информацията, представляваща лични данни по смисъла на член 4, § 1 от ОРЗД, с изключение на информацията, за която със закон се изисква да бъде обявена. В случая, обявеният акт е дружествен договор на дружество с ограничена отговорност, който на основание чл. 115, т. 3 от ТЗ следва да съдържа името, съответно фирмата и единния идентификационен код на съдружниците, а жалбоподателя, като съдружник и физическо лице, следва да бъде индивидуализиран само с имената си. В този смисъл съгласно нормата на чл. 2, ал. 2 от ЗТРРЮЛНЦ личните данни, подлежащи на обявяване, като законово изискуем реквизит на дружествения договор, са имената на съдружниците. Редът за вписване е регламентиран с чл. 13 от ЗТРРЮЛНЦ и Наредба 1 от 14.02.2007 г. за водене, съхраняване и достъп до търговския регистър и до регистъра на юридическите лица с нестопанска цел, като съгласно чл. 13, ал. 6 от ЗТРРЮЛНЦ заявителя (лице по чл. 15 от същия закон) следва да представи подлежащия на обявяване акт, съгласно изискванията на закона, както и заверени преписи от актовете, подлежащи на обявяване в търговския регистър, в които личните данни, освен тези, които се изискват по закон, са заличени. Когато в заявлението или в приложените към него документи са посочени лични данни, които не се изискват по закон, се смята, по аргумент от чл. 13, ал. 9 от ЗТРРЮЛНЦ, че предоставилите ги лица са дали съгласието си за тяхното обработване и за предоставянето на публичен достъп до тях. Съдът е приел, че тази законова презумпция противоречи на забраната по чл. 2, ал. 2 от ЗТРРЮЛНЦ, на чл. 115, т. 3 от ТЗ и на разпоредбите на чл. 4, § 11 и чл. 6, § 1, б. "а" от ОРЗД, доколкото съгласието на субекта на данните следва да е свободно изразено, конкретно, информирано и недвусмислено да указва волята му, чрез изявление или ясно потвърждаващо действие и не може да бъде презумирано. Администраторът на лични данни съгласно чл. 7, § 1 от ОРЗД при обработване на основание съгласие, следва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на същите. В случая, съгласието на субекта на данните не е изразено недвусмислено, съответно обработването им е незаконосъобразно по аргумент от чл. 6 и чл. 7, § 2 от ОРЗД, а и с подаденото заявление изрично е изразено несъгласие за обработване на личните му данни, съответно за администратора на лични данни не съществува никакво съмнение каква е волята на субекта на данни. В този смисъл отказът на администратора на лични данни да заличи публикуваните лични данни на жалбоподателя, извън трите му имена, противоречи на материалния закон и мълчаливият отказ следва да бъде отменен, като преписката се изпрати на администратора на лични данни АВ за произнасяне по заявлението, при спазване на указанията по тълкуване и прилагане на закона, дадени от съда. по тези съображения съдът е постановил оспорения понастоящем резултат. Така постановеното съдебно решение е валидно, допустимо и правилно. Неоснователно е възражението в касационната жалба, че съдът неправилно е приел, че е налице мълчалив отказ по заявлението, с което Н. Недков е поискал заличаване на личните му данни, съдържащи се в публикуваните по партидата на "Аватар ъф джъстис" ООД данни, доколкото заявителят не е поискал издаването на индивидуален административен акт, а извършването на фактически действия по заличаване на данните. Цитираното твърдение имплицитно съдържа възражение против реда, по който се е провело производството и е осъществена търсената съдебна защита. Възраженията са неоснователни. Правилно първоинстанционният съд е приел, че производството е по реда на чл. 145 и сл. от АПК, във връзка с чл. 39, ал. 1 от ЗЗЛД. Жалбоподателят е оспорил непроизнасянето от страна на АВ по заявлението му, с което същият е поискал заличаване на личните му данни. Искането на жалбоподателя несъмнено е по чл. 17 от ОРЗД, което не се оспорва понастоящем от касатора, в който случай приложима е предвидената в чл. 79 на ОРЗД специална уредба на правото на ефективна съдебна защита срещу администратор на лични данни. Съгласно цитираната разпоредба, без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по настоящия регламент са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. На правото по чл. 79 от Регламента съответства разпоредбата на чл. 39, ал. 1 от ЗЗЛД, съгласно която при нарушаване на правата му по ОРЗД и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. Правилно първоинстанционният съд е приел, че съдебната защита се претендира на това правно основание, като приложим е реда по чл. 145 и сл. от АПК. Това е така, тъй като в случая АВ дължи произнасяне с акт, в който, за да прецени основателността на искането за заличаване на личните данни на жалбоподателя (правото да бъдеш забравен) следва да съобрази разпоредите на Регламента, както относно съдържанието на понятието "съгласие на субекта на данните" (чл. 4, т. 11) и условията за даване на това съгласие, установени в чл. 7 от Регламента, така и основанията по чл. 17, §, 1, 2 и 3 от Регламента. Съгласно чл. 12, §3 от ОРЗД администраторът на лични данни следва да предостави информация на субекта на данни относно неговото заявление в месечен срок. В случая АВ не се е произнесла, поради което правилно е прието, че е налице мълчалив акт, мълчалив отказ на АВ да се произнесе като администратор на лични данни по заявлението на субекта на данни. В тази връзка следва да се посочи, че Агенцията по вписване е администратор на лични данни, като възражението в касационната жалба, че е получател, а не администратор на лични данни е неоснователно. Съгласно чл. 4, §7 от Регламента "администратор" на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. "Обработване" на лични данни по определението на чл. 4, § 2 от Регламента означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. АВ, съгласно чл. 3 и чл. 11 от ЗТРРЮЛНЦ води, съхранява, осигурява автоматизирано подаване на информация за вписаните търговци, клонове на чуждестранни търговци, юридически лица с нестопанска цел и клоновете на чуждестранни юридически лица с нестопанска цел и свързаните с тях обстоятелства и обявените актове в търговския регистър и в регистъра на юридическите лица с нестопанска цел, на Националната агенция за приходите, както и на други субекти, определени със закон, осигурява свободен и безплатен достъп до базата данни, съставляваща регистрите, осигурява регистриран достъп до делото на търговеца или на юридическото лице с нестопанска цел. Следователно АВ отговаря на определението за администратор на лични данни по смисъла на чл. 4, §7 от ОРЗД независимо от това, че получава актовете и данните от друго лице - заявител по чл. 15 от ЗТРРЮЛНЦ. В този смисъл са и изводите в Решение от 13.03.2017 г. по дело С-398/ 2015, Camera di Commersio Industria, Artigianato e Agricoitura di Lecce v Salvatfre Manni на Съда на Европейския съюз (СЕС), в което е прието, че органът, който поддържа регистъра на дружествата е "администратор" и извършва обработка на лични данни, като преписва и съхранява тази информация в регистъра и я съобщава, когато е уместно, при поискване на трети лица ( т. 31 и 35 от решението). Нормативната рамка определя, че администратори на лични данни, могат да бъдат не само публични органи, агенции или други държавни структури, но и юридически лица, във връзка със статута и дейност на същите, регламентирани от закон, или от извършваната от тях дейност, както и физически лица, които обработват лични данни във връзка с професионалната си дейност. По тази причина националният законодател в нормата на чл. 39, ал. 1 от ЗЗЛД е употребил по-общото понятие "актове на администратор на лични данни", а не индивидуални административни актове, като посоченото не се отряза на процесуалния ред за осъществяване на защита от такива актове, който е по реда на чл. 145 от АПК, при липса на предвиден специален процесуален ред и препращане за разглеждане на жалбите по реда на АПК. Приравнен на акт на администратор на лични данни е и мълчаливият отказ на АВ да се произнесе по заявлението, с което е сезирана за упражняване на правото по чл. 17 от ОРЗД. В случая администраторът е държавен орган, но актът му (мълчалив акт - отказ от произнасяне) не е индивидуален административен акт, а акт на администратора на лични данни, като правилно АССГ е приел наличие на основанието по чл. 39, ал. 1 от ЗЗЛД, във връзка с чл. 79 от ОРЗД за допустимо упражняване на правото на съдебна защита по отношение на твърдяното ограничаване на правото на жалбоподателя да иска изтриване на свързаните с него лични данни, съгласно чл. 17 от Регламента. По тези съображения следва да бъдат отхвърлени като неоснователни доводите в касационната жалба относно приложимия процесуален ред, по който е проведено производството, както и това, че АВ няма качеството на администратор на лични данни. Представеното становище на КЗЛД във връзка с твърдението, че АВ е получател на данни, а не администратор на лични данни не е задължително за настоящия състав, като не се споделят и изложените в него доводи, като противоречащи на легалните дефиниции и на принципите на ОРЗД и националния закон - ЗЗЛД. Съгласно чл. 4, т. 9 от ОРЗД пред получателя на лични данни само се разкриват такива, докато АВ обработва лични данни, в това число и автоматизирано, като осъществява и публикуване в публичен регистър. Правилно първоинстанционният съд е отменил мълчаливият отказ на АВ да се произнесе и е върнал преписката за ново произнасяне, при спазване на указанията по приложението на закона. При новото произнасяне, администраторът на лични данни следва да съобрази и дадените в Решение 9241 от 20.10.2022 г., постановено по адм. дело 732/2022 г. на ВАС, Пето отделение принципни указания за приложението на ОРЗД, както и относно преценката за баланса на интереси между правото на защита на лични данни и задължението на държавите-членки на ЕС за оповестяване и запазване на данни и актове в регистрите на дружествата, в това число и практиката на СЕС. Постановеното съдебно решение като правилно следва да бъде оставено в сила. С оглед изхода на делото е основателна претенцията на ответника по касация за присъждане на разноски за касационното производство - адвокатско възнаграждение за един адвокат, действително внесени, в размер на 1000 лева, установени с договор за правна защита и съдействие от 13.07.2022 г. По изложените съображения и на основание чл. 221, ал. 2, изр. първо, предл първо от АПК, Върховният административен съд, състав на Пето отделение,