Решение № 12322 от 1.12.2021 г. на ВАС по адм. д. № 7066/2021 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисия за защита на личните данни (КЗЛД, Комисията) срещу Решение 2527/15.04.2021 г. на Административен съд София-град (АССГ) постановено по адм. дело 697/2021 г. В решението е допусната техническа грешка при изписване на годината на постановеното решение (предвид посочената в решението дата на провеждане на откритото съдебно заседание), като вместо правилната 2021 г. е изписана 2020 г. При справка в публично достъпната страница на АССГ ( https://sofia-adms-g.justice.bg/bg/1695 ) се установи, че обявеното решение на съда е с дата 15.04.2021 г. Допуснатата техническа грешка може да бъде поправена от съда, постановил решението по реда на чл. 175 АПК. В този смисъл Решение 14488 от 3.12.2014 г. на ВАС по адм. д. 2067/2014 г. С обжалваното решение е отменено Решение ПАИКД-13-66/30.12.2020 г. на КЗЛД, с което на основание чл. 58, § 2, буква д от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) на ЧЕЗ Разпределение България АД е разпоредено да уведоми засегнатите субекти на данни, в рамките на две седмици от влизане в сила на решението, след което администраторът да уведоми КЗЛД за неговото изпълнение, като и на основание чл. 58, § 2, буква г от Общ регламент относно защитата на данните да предвиди в договорите с доставчици на услугата хибридна поща подходящи технически и организационни мерки за защита при пренос на данни на хартиен носител и КЗЛД е осъдена да заплати разноски по делото. Касационният жалбоподател обжалва решението като неправилно постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано касационни основания по чл. 209, т. 3 АПК. Сочи, че съдът в нарушение на съдопроизводствените правила и противно на нормата на чл. 173, ал. 2 АПК, в диспозитива на решението не е описал, че връща преписката за ново произнасяне, съобразно мотивите му и дава задължителни указания по тълкуването и прилагането на закона. Счита за неправилни доводите на съда, че решението на Комисията е постановено в противоречие с материалния закон. Излага подробни съображения, за неправилност на изводите на съда във връзка с определяне нивото на риска, като и несъгласие по отношение на указанията дадени от надзорния орган във връзка с техническите и организационни мерки за защита. Моли обжалваното решение да се отмени и се постанови ново, с което се потвърди Решение ПАИКД-13-66/30.12.2020 г. на КЗЛД. Претендира юрисконсултско възнаграждение. Касационният жалбоподател се представлява от служител с юридическо образование Такова и юрк. Янчев Ответникът по касация ЧЕЗ Разпределение България АД оспорва касационната жалба. Моли обжалваното решение да се остави в сила. Ответникът по касация се представлява от служител с юридическо образование Славчев. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна. По делото от фактическа страна е установено следното: Между ЧЕЗ Разпределение България АД и МиБМ Експрес ООД, въз основа на проведена обществена поръчка е сключен договор 19-223/30.07.2019 г., по силата на който МиБМ Експрес ООД се е задължило срещу заплащане да извършва дейности по печат и доставка на фактури, напомнителни писма и др. допълнителни дейности от обхвата на услугата хибридна поща, извършване на универсална пощенска услуга, куриерски услуги, приемане и предаване на пратки и др. Към договора ЧЕЗ Разпределение България АД и МиБМ Експрес ООД са сключили споразумение за обработване и защита на личните данни. В споразумението МиБМ Експрес ООД е посочен като изпълнител и се е задължил да обработва личните данни от името на ЧЕЗ Разпределение България АД само и единствено за целите по предоставяне на услугите. Дейностите по обработването са записани в приложение 1 към договора. С приложение 2 към споразумението, страните са договорили минималните технически и организационни мерки, прилагани от изпълнителя за защита на личните данни. На 18.11.2020 г. МиБМ Експрес ООД е уведомил ЧЕЗ Разпределение България АД за настъпил инцидент с откраднати пратки. По уведомление на МиБМ Експрес ООД в Столична дирекция на вътрешните работи (СДВР) е образувана преписка. С Уведомление вх. ПАИКД-13-66-1/26.11.2020 г., във връзка с постъпилата от МиБМ Експрес ООД информация, ЧЕЗ Разпределение България АД е уведомило КЗЛД, че на 26.10.2020 г. е регистрирана преписка за извършена кражба на писмови пратки, адресирани до клиенти на дружеството, с вх. 338200-14241/27.10.2020 г. по описа на 07 РУ-СДВР. Посочено е, че настъпилото събитие е възможно да доведе до разкриване и/или неоторизиран достъп до лични данни, които са включени в документите от откраднатите пратки. Пратките съдържат уведомителни писма и протоколи за подмяна на средства за търговско измерване. Разкриването на данните може да засегне 25 физически лица. Направен е извод, че разкриването може да причини незначителен риск за засегнатите лица, тъй като е използван минимален обем от лични данни. С оглед подаденото уведомление КЗЛД е постановила процесното Решение ПАИКД-13-66/30.12.2020 г. Въз основа на така установените факти съдът приел от правна страна, че оспореният акт е издаден от компетентен орган, в кръга на неговите правомощия, съгласно чл. 10 от Закона за защита на личните данни (ЗЗЛД) и чл. чл. 55 и чл. 57 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679). Решението е взето при необходимия кворум и мнозинство. Административният акт е издаден в предвидената от закона писмена форма и отговаря на изискванията на чл. 59, ал. 2 АПК. Решението е издадено при липса на допуснати съществени нарушения на административнопроизводствените правила. За да отмени решението, съдът е приел, че то е издадено в нарушение на материалния закон. Изложил е съображения, че правилно и в съответствие с чл. 58, § 2, буква г и буква д от Регламент (ЕС) 2016/679, дадените с процесното решение указания са насочени към ЧЕЗ Разпределение България АД, като администратор на лични данни, тъй като услугата, която извършва обработващият личните данни МиБМ Експрес ООД, се извършва на основание на договор за обществена поръчка. Приел е, че инцидентът свързан с нарушение сигурността на личните данни, касае личните данни на 25 засегнати лица, които са били адресати на писмовите пратки на ЧЕЗ Разпределение България АД. Приел е, че настъпилото събитие е възможно да доведе до разкриване или неоторизиран достъп до лични данни, които са включени в документите от откраднатите пратки, предвид тяхното съдържание, но разкриването може да причини незначителен риск за засегнатите лица, тъй като е използван минимален обем лични данни. Нивото на риск за засегнатите субекти е нисък, поради което е приел, че предвид чл. 34, § 4 от Регламент (ЕС) 2016/679 изискващ уведомяване на засегнатите субекти, при наличие на висок риск, то съобщаване на засегнатите субекти не се изисква. Приел е и, че второто указание е неправилно дадено. В тази връзка е изложил съображения, че с приложение 2 към договора ЧЕЗ Разпределение България АД и МиБМ Експрес ООД са договорили минималните технически и организационни мерки, прилагани от изпълнителя (обработващия лични данни) за защита на личните данни. В договора са предвидени и конкретни мерки за защита на личните данни, а именно предаване на пратките срещу подпис на адресата. В случая нарушението на сигурността на данните се дължи на кражба, която следва да се разследва от компетентните органи. В решението на Комисията липсва обосновка какви следва да са техническите и организационните мерки, различни от предвидените, за защита на данните. Липсва и констатация дали договорените мерки са правилни, относими и достатъчни за защита на личните данни. Приел е, че предвид разпоредбата на чл. 63 от ПДКЗЛДНА и тъй като с решението е прието ниско ниво на риск, то преписката не следва да се връща на органа. Решението е правилно като резултат, при следните коригиращи и допълващи мотиви. Фактическите установявания в обжалваното решение кореспондират на събрания доказателствен материал, поради което касационната инстанция ги приема изцяло и не следва да ги преповтаря. По фактите страните не спорят. Безспорно е установено, че по повод кражба на писмови пратки, ЧЕЗ Разпределение България АД е уведомила КЗЛД за нарушение на сигурността на данните, в изпълнение изискванията на чл. 33 от Регламент (ЕС) 2016/679. Изводите на съда, че обжалваното пред него решение е издадено от компетентен орган, в кръга на предоставените му правомощия и в предвидената от закона писмена форма са правилни. По отношение изводите на съда, че решението отговаря на изискванията на чл. 59, ал. 2 АПК и че е постановено без допуснати съществени нарушения на административнопроизводствените правила следва да се отбележи следното: В решението на КЗЛД от фактическа страна е установено, каква дейност извършва ЧЕЗ Разпределение България АД, като в тази връзка Комисията се е позовала на посоченото в Търговския регистър и регистъра на юридическите лица с нестопанска цел. Преразказано е уведомлението на дружеството, вкл. че по преценка на ЧЕЗ Разпределение България АД разкриването на личните данни би могло да причини незначителен риск за засегнатите лица и съображенията на администратора за това. Изведен е извод, че уведомяването на Комисията за нарушението на сигурността на данните не е направено в законоустановения срок, но администраторът на лични данни е посочил основателни причини за закъснението и е положил усилия в най-кратък срок да уведоми КЗЛД по законоустановения ред. Отбелязано е, че нарушението на сигурността на данните е първо за администратора. Извън това, КЗЛД не е изложила каквито и да е собствени съображения, защо е разпоредила администраторът на лични данни да уведоми засегнатите субекти на данни и да предприеме подходящи технически и организационни мерки. Поради това решението не е мотивирано. Съгласно чл. 34 от Регламент (ЕС) 2016/679 когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, администраторът, без ненужно забавяне, съобщава на субекта на данните за нарушението на сигурността на личните данни. В съобщението до субекта на данните, посочено в параграф 1 от настоящия член, на ясен и прост език се описва естеството на нарушението на сигурността на личните данни и се посочват най-малко информацията и мерките, посочени в член 33, параграф 3, букви б), в) и г). Посоченото в параграф 1 съобщение до субекта на данните не се изисква, ако някое от следните условия е изпълнено: a) администраторът е предприел подходящи технически и организационни мерки за защита и тези мерки са били приложени по отношение на личните данни, засегнати от нарушението на сигурността на личните данни, по-специално мерките, които правят личните данни неразбираеми за всяко лице, което няма разрешение за достъп до тях, като например криптиране; б) администраторът е взел впоследствие мерки, които гарантират, че вече няма вероятност да се материализира високият риск за правата и свободите на субектите на данни, посочен в параграф 1; в) то би довело до непропорционални усилия. В такъв случай се прави публично съобщение или се взема друга подобна мярка, така че субектите на данни да бъдат в еднаква степен ефективно информирани. Ако администраторът все още не е съобщил на субекта на данните за нарушението на сигурността на личните данни, надзорният орган може, след като отчете каква е вероятността нарушението на сигурността на личните данни да породи висок риск, да изиска от администратора да съобщи за нарушението или да реши, че е изпълнено някое от условията по параграф 3. Именно за изпълнение на последното задължение от страна на КЗЛД по делото не са представени доказателства. В Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (Издаден от Комисията за защита на личните данни, обн., ДВ, бр. 60 от 30.07.2019 г., в сила от 30.07.2019 г., попр., бр. 63 от 9.08.2019 г., изм., бр. 52 от 9.06.2020 г., в сила от 9.06.2020 г.), наричан по-надолу Правилника или ПДКЗЛДНА, в Глава четвърта, раздел VІІ Разглеждане на уведомления за нарушения на сигурността на личните данни е регламентирана процедурата по разглеждане на уведомленията за нарушения на сигурността на данните. Съгласно чл. 62 ПДКЗЛДНА след постъпване в КЗЛД на уведомление за нарушение на сигурността на личните данни уведомлението се разпределя на дирекция "Правно-аналитична, информационна и контролна дейност", която извършва следните действия: 1. регистрира уведомлението в регистър на уведомленията за нарушения на сигурността; 2. в двуседмичен срок извършва анализ на постъпилата информация за пълнота на данните по чл. 33, параграф 3 от Регламент (ЕС) 2016/679, съответно чл. 67, ал. 3 от ЗЗЛД, при който се изясняват следните въпроси: а) качеството на КЗЛД водещ орган, засегнат орган или компетентен орган по чл. 56, параграф 2 от Регламент (ЕС) 2016/679; в случаите, когато комисията е засегнат орган или компетентен орган по чл. 56, параграф 2, след решение на КЗЛД дирекция "Правно-аналитична, информационна и контролна дейност" незабавно уведомява водещия орган чрез информационната система на вътрешния пазар, от който очаква съответно решение; при възникнал спор за компетентност дирекцията изготвя мотивирано предложение до КЗЛД дали въпросът да бъде отнесен до Европейския комитет за защита на данните по реда на чл. 65, а при спешност по реда на чл. 66 от Регламент (ЕС) 2016/679; б) естеството на нарушението на сигурността на личните данни при отчитане на категориите субекти на данни и записи на лични данни, приблизителният брой на засегнатите субекти на данни и записи на данни, евентуалните последици от нарушението на сигурността и предприетите или предложени от администратора мерки; в) определяне нивото на риска съобразно приета от комисията методика; 3. при констатиране на непълнота на данните по чл. 33, параграф 3 от Регламент (ЕС) 2016/679, съответно чл. 67, ал. 3 от ЗЗЛД, дирекция "Правно-аналитична, информационна и контролна дейност" установява контакт с администратора, подал уведомлението за нарушение на сигурността, с цел допълване и/или изясняване на информацията. В чл. 63 от Правилника е посочено, че въз основа на информацията и анализа по чл. 62, т. 2, букви "б" и "в" дирекция "Правно-аналитична, информационна и контролна дейност" изготвя мотивиран доклад до КЗЛД с предложения, както следва: 1. приемане на уведомлението на нарушението за сведение при наличие на ниско ниво на риск за правата и свободите на физическите лица; 2. извършване на проверка по документи при наличие на средно ниво на риск за правата и свободите на физическите лица; 3. извършване на проверка на място при наличие на високо ниво на риск за правата и свободите на физическите лица. С решение на КЗЛД може да бъде извършена проверка на място независимо от нивото на риска. По делото липсват каквито и да е доказателства, за спазване на предвидения в Правилника ред за разглеждане на подаденото от ЧЕЗ Разпределение България АД уведомление за нарушение сигурността на данните. Изрично в изпълнение указанията на съда от КЗЛД с писмо изх. ПАИКД-13-66(20)#9/12.02.2021 г. по описа на КЗЛД е посочено, че по делото е представена цялата административна преписка. На интернет страницата на КЗЛД е публично достъпна (на адрес https://www.cpdp.bg/userfiles/file/Kontrolna%20dejnost/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0%20%D0%B7%D0%B0%20%D0%BE%D1%86%D0%B5%D0%BD%D0%BA%D0%B0%20%D0%BD%D0%B0%20%D1%80%D0%B8%D1%81%D0%BA%D0%B0%20%D0%BF%D1%80%D0%B8%20%D0%BD%D0%B0%D1%80%D1%83%D1%88%D0%B5%D0%BD%D0%B8%D0%B5%20%D0%BD%D0%B0%20%D1%81%D0%B8%D0%B3%D1%83%D1%80%D0%BD%D0%BE%D1%81%D1%82%D1%82%D0%B0.pdf ) Методика за определяне нивото на риска при нарушения на сигурността на личните данни. По делото липсват каквито и да е доказателства за определяне нивото на риска по реда на тази методика, поради което е неясно, защо с процесното решение са дадени указания, като за отчетен висок риск за правата и свободите на засегнатите физически лица.