Решение № 9572 от 22.8.2024 г. на ВАС по адм. д. № 6733/2023 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба, подадена от Министерството на здравеопазването /МЗ/, чрез процесуален представител юрк. Трифонова срещу решение 2628 от 18.04.2023 г., постановено по административно дело 1543/2023 г. по описа на Административен съд София град /АССГ/, с което е отхвърлена жалбата му против решение ПАИКД - 13 - 60/2022 г. от 25.01.2023 г. на Комисия за защита на личните данни /КЗЛД, Комисията/, с което на основание чл. 83, пар. 4, б. а за нарушение на чл. 32, пap. 1 и пар. 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните, ОРЗД, Регламент (ЕС) 2016/679, Регламента/ на Министерство на здравеопазването е наложено административно наказание имуществена санкция в размер на 5000 лева; на основание чл. 58, пар. 2, б. г от Регламент (ЕС) 2016/679 е разпоредено M3 да въведе подходящи технически и организационни мерки за сигурност на обработването на личните данни, които да са съобразени с нивото на риск, включително и мерки за вътрешен контрол на тяхното спазване, като е даден срок за изпълнение на разпореждането и уведомяването на КЗЛД за изпълнението. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска същото да бъде отменено. Не претендира разноски. Ответникът по касационната жалба Комисията за защита на личните данни, чрез процесуален представител, в писмени бележки оспорва жалбата като неоснователна, иска обжалваното решение да бъде потвърдено като правилно. Претендира разноски за юрисконсултско възнаграждение, като в условията на евентуалност прави възражение за прекомерност на претендираните от касатора разноски. Прокурорът от Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е неоснователна. Предмет на проверка за законосъобразност пред АССГ е решение ПАИКД - 13 - 60/2022 г. от 25.01.2023 г. на КЗЛД, което е издадено по преписка с peг. ПАИКД-13-60/2022 г., образувана по повод подадено от Министерство на здравеопазването уведомление до комисията, във връзка с извършено нарушение на защитата на личните данни по чл. 33 от Регламент (ЕС) 2016/679, състоящо се в неправомерното публикуване в електронна медия www.clinica.bg на служебен документ - заявление по чл. 37а, ал. 2 от Закона за лечебните заведения /ЗЛЗ/, подадено от управител на Търговска лига - глобален аптечен център АД, съдържащо негови лични данни в обем - три имена, ЕГН, постоянен адрес, телефон и електронна поща. За да постанови обжалваното решение и отхвърли жалбата срещу оспорения пред него административен акт, решаващият съд, след преценка на доказателствата по делото и анализ на приложимите правни норми, е приел, че оспореният пред него административен акт е издаден от компетентен орган, в предвидената от закона форма, при спазване на административнопроизводствените правила и в съответствие с материалния закон. Така постановеното решение е правилно. Законосъобразно и в съответствие със събраните по делото доказателства, АССГ е приел за установено, че МЗ е администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, според който администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка, а обработващ лични данни" е всяко физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. Безспорно, личните данни на управителя на търговското дружество ТЛ-Глобален аптечен център АД в посочения по горе обем представляват такива по смисъла на чл. 4, т. 1 Регламент (ЕС) 2016/679, съгласно който лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /субект на данни/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по - специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Не се спори също така, че публикуваните в електронната медия лични данни представляват информация за физическо лице (управителя на търговската лига), което може да бъде идентифицирано посредством тях, като информацията е станала достояние на неограничен брой хора, а публикуването в електронната медия само по себе си представлява разпространение на данните и същото е конкретно посочено като действие по обработване в разпоредбата на чл. 4, т. 2 от Регламент (ЕС) 2016/679. Както правилно е отбелязал АССГ, разпоредбите на чл. 24 и 32 от Регламент (ЕС) 2016/679, задължават администратора на лични данни /какъвто в случая е МЗ/ да вземе подходящите технически и организационни мерки, с които да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента и със закона, като същите не са конкретно посочени, тъй като възприетият подход е всеки администратор сам да определи кои да бъдат тези мерки. В тази връзка обосновано е прието, че в случая нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на въпросните мерки, които в необходимата степен да гарантират защитата на личните данни на физическите лица. Настоящият съдебен състав напълно споделя изложеното от първоинстанционния съд, а именно, че в конкретния случай извършеното от министерството нарушение на защитата на данните, не е допуснатото единствено вследствие на субективен източник на риск - поведението на техен служител, предал документите на дружеството ДОК Интернешънъл КБ ЕООД (електронна медия), което впоследствие ги е приело като материал към журналистическа статия, публикувана на поддържания от него сайт, но и поради липса на въвеждане на подходящо ниво на сигурност след извършване на съответната оценка на риска на дейностите по обработване на лични данни. Последното е довело до недостатъчност на посочените по горе технически и организационни мерки по отношение на сигурността на данните, което от своя страна е довело и до нарушаването на тяхната защита. Тук следва да се отбележи, че действително в случая са предприети технически и организационни мерки от МЗ, но липсват доказателства, от които да се направи обоснован извод, че са достатъчни и подходящи, за да гарантират защитата на данните. В тази връзка, цитирайки текстът на съображение 74 от Регламента, административният съд правилно е заключил, че следва да се докаже не само наличието на предприетите действия и взетите технически мерки, но и тяхната ефективност, което в случая липсва. Споделят се съображенията на АССГ и по отношение на наложеното от административният орган административно наказание имуществена санкция в размер на 5000 /пет хиляди/ лева. Неприлагането на подходящи технически и организационни мерки имащо за последица достъп на лични данни от страна на неограничен брой хора без правно основание, както и фактът, че извършеното от МЗ, като администратор на лични данни, нарушение е второ от същия тип за него, налага извод за обосновано и законосъобразно наложена принудителна административна мярка, както и имуществена санкция в посочения размер. По изложените съображения, решението на АССГ е правилно, като постановено в съответствие с приложимото материално право и обоснованост на фактическите и правни изводи на съда. При липса на пороците, сочени като касационни основания за отмяна, същото, като валидно, допустимо и правилно следва да бъде оставено в сила от настоящия съдебен състав. Предвид изхода на спора е основателна претенцията на ответника по касация за присъждане на разноски за юрисконсултско възнаграждение, което на основание чл. 143, ал. 3 АПК, вр. чл. 24 от Наредба за заплащане на правната помощ и с оглед фактическата и правна сложност на делото, съдът определя в размер на 100 /сто/ лева. По изложените съображения и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, Пето отделение