Решение № 3685 от 26.3.2024 г. на ВАС по адм. д. № 9659/2023 г.

Производството е по реда на чл. 208 и сл. от Администартивнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисията за защита на личните данни (Комисията/КЗЛД) срещу решение 4323/29.06.2023 г. постановено по адм. д. 1178/2023 г. по описа на Административен съд София-град (АССГ). Касационният жалбоподател обжалва съдебното решение като неправилно и необосновано - касационно основание за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска да бъде отменено обжалваното съдебното решение. Съображения в подкрепа на твърденията и искането са изложени в касационната жалба и писмени бележки. Претендира разноски за юрисконсултско възнаграждение. Ответникът Народното събрание на Република България, редовно призован за съдебно заседание, не е изпратил представител и не е изразил становище по касационната жалба. Прокурорът от Върховната прокуратура заявява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество е неоснователна по следните съображения: С обжалваното решение 4323/29.06.2023 г. постановено по адм. д. 1178/2023 г. по описа на АССГ жалба на Народното събрание е отменено Решение ППН-02-187/27.01.22 г. на КЗЛД, с което на Народното събрание на Република България е разпоредено, в качеството на администратор на лични данни, да съобрази операциите по обработване на лични данни, като приложи подходящи технически и организационни мерки за осигуряване на съобразено с ниво на сигурност, съгласно чл. 5, § 1,6. е във връзка с чл. 32, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните/ОРЗД) като въведе правила за обработване на лични данни при провеждане на пленарни заседания и прякото им излъчване в ефир, които да бъдат разписани в Правилника за организацията и дейността на Народното събрание (ПОДНС). Административният съд е приел, че оспореното пред него решение е действителен акт, издаден от компетентен орган, но при неспазване на изискването на чл. 35 от АПК за установяване на релевантните факти, без обсъждане на събраните доказателства и липса на мотиви относно наличието на нарушение и избора да се приложи конкретно правомощие по чл. 58, § 2 от ОРЗД. С оглед тези констатации за липса на пълни фактически установявания решаващият съд е формирал извод, че не е възможно да се осъществи контрол относно законосъобразността на решението на КЗЛД и като основание за неговата отмяна са посочени само тези по чл. 146, т. 2 и т. 3 от АПК. Така постановеното съдебно решение е валидно, допустимо и правилно. Законосъобразно и в съответствие със събраните по делото доказателства, АССГ е приел за установено, че Народното събрание е администратор на лични данни по смисъла на чл. 4, т. 7 от Общия регламент относно защитата на данните, по отношение на който е постъпил сигнал за нарушение на сигурността на личните данни. Обосновано съдът е приел, че Комисията не е обсъдила писмени доказателства, установяващи създадените правила и начина на обработване на лични данни в Народното събрани, а именно: 1. Аналитичен доклад за съответствието на процесите по обработка на личните данни с изискванията на Регламент (ЕС) 2016/679; 2. Одитен доклад от проведен преглед на системата за управление на сигурността на информацията в съответствие с ISO 27001; 3. Оценка на риска на дейностите по обработка на личните данни в съответствие ISO 31000; 4. Вътрешни правила за защита на личните данни в администрацията на Народното събрание на Република България и приложенията към тях; 5. Вътрешни правила за съхранение и унищожаване на лични данни и приложенията към тях; 6. Вътрешни правила за действие при нарушение на сигурността на личните данни и приложенията към тях; 7. Вътрешни правила за извършване на оценка за въздействието върху личните данни и Методология за извършване на оценка на въздействието; 8. Процедура за упражняване на права от субектите на данните и приложения; 9. Вътрешни правила за предаване на лични данни на трети държави или международни организации; 10. Методика за оценка на риска; 11. План за въздействие на риска; 12. Технически и организационни мерки за защита на личните данни; 13. Декларации за съгласие; 14. Публично достъпни на интернет страницата на Народното събрание съобщения за поверителност при обработка на лични данни на различни категории лица. В решението на КЗЛД се ограничила в описание на доказателствата относно извършените действия от председателя на Народното събрание в началото на пленарното заседание на Народното събрание, проведено на 16.04.2021 г., излъчвано на живо в ефира на БНТ и БНР, както и отразяването ме в публикуваните видеофайлове и стенограма от него, но не е изложила никакви мотиви как тези факти се отнасят към констатациите за извършено нарушение при обработването на личните данни на А. Мертезова и необходимостта да бъде разпоредено да се предприемане подходящи технически и организационни мерки при провеждане на пленарни заседания и прякото им излъчване в ефир. Неясно е позоваването в решението на КЗЛД на израза: за времето, през което К. Кралев изпълнява функциите на министър в оставка и какво отношение има това обстоятелство към предмета на производството. Напълно обоснован е изводът на АССГ, че оспореното пред него решение на КЗЛД е издадено при неизяснена фактическа обстановка и без недвусмислени мотиви относно нарушението и необходимостта от разпореждане за предприемане на мерки с описаното в акта съдържание. Изрично трябва да бъде посочено, че в решението на КЗЛД липсват ясни мотиви относно естеството, тежестта и продължителността на нарушението, а възпроизвеждането на текста от ОРЗД не е достатъчно да се приеме, че е налице в действителност анализ на тези обстоятелства. При правилно разпределение на доказателствената тежест в процеса АССГ обосновано е приел, че в административното производство не обсъдени събраните доказателства за нарушение на сигурността на данните и съществуващите технически и организационни мерки за обработването им, а констатациите на КЗЛД са само въз основа на част от тях. Неоснователно позоваването в касационната жалба на мотивите на решение 3607/30.05.2022 г., постановено по адм.д. 1727/2022 г. по описа на АССГ, което е отменено с решение 1171/03.02.2023 г., постановено по адм.д. 6438/2022 г. по описа на Върховния административен съд и в никакъв случай не е обвързващо за АССГ при повторното разглеждане на същия спор. В случая втората първа инстанция се е съобразила с указанията на Върховния административен съд и постановеното съдебно решение, предмет на касационен контрол в настоящото производство, е напълно обосновано. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за наличие на основания за отмяна на атакуваното пред него решение на КЗЛД поради липса на ясно изложени фактически основания в акта и допуснато съществено нарушение на административнопроизводствените правила. При извършената служебна проверка по реда на чл. 218, ал. 2 от АПК не се констатират нарушения на материалния закон, поради което и при отсъствие на наведеното касационно основание необоснованост обжалваното решение като действително, допустимо и правилно, трябва да бъде оставено в сила на основание чл. 221, ал. 2 от АПК. По водене на делото пред настоящата инстанция ответната страна не е направила разноски, не е представлявана и не претендира разноски, поради което с оглед изхода на спора разноски не следва да бъдат определяни. По изложените съображения, Върховният административен съд, пето отделение