Решение № 497 от 20.1.2025 г. на ВАС по адм. д. № 10134/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Сити кеш ООД, представлявано от управителя Н. П., чрез юриск. Бочева, срещу Решение 12764/24.07.2024 г., постановено по адм. дело 34/2024 г. по описа на Административен съд София - град /АССГ/, с което е отхвърлена жалбата му против Решение ППН-01-283 от 07.09.2023 г. на Комисията за защита на личните данни /КЗЛД/. Касационният жалбоподател обжалва решението като неправилно поради нарушение на материалния закон и съществено нарушение на съдопроизводствените правила. Излага доводи, че е нарушена разпоредбата на чл. 54, ал. 1, т. 3 от Закона за административните нарушения и наказания/ЗАНН/, като не е доказано по безспорен начин извършването на нарушение от дружеството. Счита, че липсата на доказателства в подкрепа на твърдяното нарушение както в първоинстанционното решение, така и в решението на КЗЛД е съществено процесуално нарушение, което се явява самостоятелно основание за отмяна на решението. Моли обжалваното решение да се отмени. Не претендира разноски. В съдебно заседание касаторът не се представлява. Ответникът - Комисия за защита на личните данни, чрез процесуалния представител юриск. Първанова в писмен отговор оспорва касационната жалба като неоснователна. Счита, че в касационната жалба не се сочат обстоятелства, водещи до промяна на изводите, формирани от първоинстанционния съд. Моли решението да бъде оставено в сила, като правилно. Претендира юрисконсултско възнаграждение. В съдебно заседание ответникът не се представлява. Ответната страна В. С. К., чрез особен представител адв. Пълов в писмен отговор излага доводи за неоснователност на жалбата. Счита, че постановеното решение е правилно и моли да бъде оставено в сила. Претендира присъждане на възнаграждение за особен представител. В съдебно заседание адв. Пълов поддържа депозирания писмен отговор по касационната жалба. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, тричленен състав на Пето отделение, като прецени наведените в жалбата касационни основания и доказателства по делото, приема за установено следното: Касационната жалба е подадена в преклузивния срок по чл. 211, ал. 1 от АПК и от надлежна страна по смисъла на чл. 210, ал. 1 от АПК, спрямо която първоинстанционното решение е неблагоприятно, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна. Предмет на контрол за законосъобразност пред АССГ е Решение ППН-01-283/2022 г. от 07.09.2023 г. на КЗЛД, с което на основание чл. 10, ал. 1 от Закона за защита на личните данни, във връзка с чл. 57, § 1, б. е от Регламент /ЕС/ 2016/679 и чл. 38, ал. 3 от Закона за защита на личните данни, Комисията е обявила жалба с рег. ППН-01-283/27.04.2022 г., подадена от В. С. К. за основателна; на основание чл. 83, § 5, буква а , във връзка с чл. 58, § 1, буква и , за нарушение на чл. 5, § 1, буква в от Регламент /ЕС/ 2016/679, е наложила на администратора Сити Кеш ООД административно наказание - имуществена санкция в размер 5000 /пет хиляда/ лева; на основание чл. 58, § 2, буква г от Регламент /EС/ 2016/679, за нарушение на чл. 5, § 1, буква в от Регламент |/ЕС/ 2016/679, е издала разпореждане на администратора Сити Кеш ООД да извърши обучение на служителите си за спазване на Регламента и ЗЗЛД. Във връзка с т. 3 Комисията е определила срок за изпълнение на разпореждането - три месеца от влизане в сила на същото, за изпълнението на което дружеството да уведоми КЗЛД, като представи съответните относими доказателства Съдът е приел за установено от фактическа страна, че решението е постановено по жалба с рег. ППН-01-283/27.04.2022 г. от В. К. с твърдения за нарушаване на правилата за защита на личните данни и по-конкретно: неправомерно обработване на личните му данни от страна на Сити Кеш ООД в хипотезата на обработването им, чрез разпространение до неопределен кръг от лица, без правно основание. По същество твърденията на К. са, че на 24.03.2022 г. е бил уведомен от свои съседи за обстоятелството, че негова снимка от личната му карта, ведно с негови лични данни, са били залепени пред входа на [адрес], върху пощенските кутии на входа. В качеството си на администратор на лични данни Сити Кеш ООД е изискало от него документ за самоличност като условие за отпускане на паричен заем, който погасява в момента. Профилната му снимка от личната карта била увеличена с посочени ден, дата и година /[дата]./ и изписване на имената му най-отгоре на страницата. На вторият лист се съдържали данни от личната му карта: постоянен адрес, три имена и настоящ адрес. К. е поискал да бъдат предприети действия по компетентност от КЗЛД, във връзка с нарушение на правата му по ЗЗЛД и Регламента. Комисията е приела жалбата за основателна и е издала оспореното пред АССГ решение, с което е уважила същата. Недоволен от издаденото от КЗЛД решение Сити кеш ООД е обжалвало същото пред административния съд. Решаващият съд е приел, че оспореното решение на КЗЛД е постановено от компетентен орган, при наличието на законен състав и с необходимото мнозинство, в предвидената от закона писмена форма, без допуснати съществени нарушения на административнопроизводствените правила, в съответствие с материално правните разпоредби на закона и с целта му. От представените по делото доказателства съдът е приел, че за обработването по този начин на личните данни не е било получавано съгласие от К.. В този смисъл съдът изцяло е споделил изводите на административния орган, че макар и К. да е дал съгласие за обработване на лични данни, същото касае обработването на личните му данни за целите на сключване и последващо изпълнение по договора към кредитора. Този вид обработване на личните данни от кредитора Сити кеш ООД не включва публикуването на общодостъпно място, представляващо разпространение до неопределен кръг лица на личните данни на кредитополучателя, нямащи никакво отношение със сключения между страните договор, за което обработване не е дадено съгласие, не е налице законовото задължение, прилагано спрямо администратора и същото не е част от договореното между страните. След анализ на относимите материалноправни разпоредби съдът е приел, че администраторът на лични данни Сити кеш ООД е нарушил принципите, свързани с обработването на личните данни на жалбоподателя, посочени в чл. 5, §1, б. в от Регламент (ЕС) 2016/679 - свеждане на данните до минимум, без да се ограничат до необходимото във връзка с целите по изпълнението на договора, даденото съгласие и наличието на законови задължения по Закона за мерките срещу изпирането на пари/ЗМИП/, разпространявайки до неопределен кръг от лица. По изложените съображения съдът е отхвърлил жалбата като неоснователна. Решението е правилно. Съдът е събрал относимите към спора доказателства, въз основа на които правилно е установил фактите по делото. Законосъобразни и обосновани, в съответствие с доказателствата по делото, е правният му извод, че е доказано по безспорен начин наличието на неправомерно обработване на лични данни на жалбоподателя. Правилно съдът е приел, че отговорността на администратора на лични данни Сити Кеш ООД е ангажирана за нарушение на чл. 5, § 1, б. в от Регламент /ЕС/ 2016/679. С оглед характера и естеството на нарушенията, и обстоятелството, че същите са довършени, Комисията е счела за целесъобразно, пропорционално и възпиращо налагането на мярка по чл. 58, § 2, буква и от Регламента, а именно налагане на имуществена санкция на администратора - Сити Кеш ООД, за нарушение на чл. 5, § 1, букви в от Регламента. Съгласно чл. 38 от ЗЗЛД при нарушаване на правата му по Регламент /ЕС/ 2016/679 и по този закон субектът на данни има право да сезира Комисията в срок от 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му, която се произнася с решение, като може да приложи мерките по чл. 58, §2, букви "а" "з" и "й" от Регламент /ЕС/ 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент /ЕС/ 2016/679. Правомощията на Комисията за защита на личните данни са регламентирани с препращането от чл. 10а, ал. 1 от ЗЗЛД към Регламент (ЕС) 2016/679, като най-общо се констатира, че надзорният орган съвместява различни прояви на административна дейност с налагане на административно наказание "глоба" или "имуществена санкция" /чл. 58, § 2, б. и" от Регламент /ЕС/ 2016/679/. КЗЛД при упражняване на правомощието си по чл. 38, ал. 3 от ЗЗЛД, включително и когато налага глоби и имуществени санкции, действа като колегиален независим надзорен орган, което автоматично я изключва от кръга на лицата по чл. 47 от ЗАНН, възприемани като еднолични органи. Процедурата, по която се упражняват правомощията на Комисията също се различава от тази по ЗАНН, а именно с пряко участие на всички заинтересовани страни, включително и пострадалия. Без съставяне на отделен акт за установяване на административно нарушение, предвиден в ЗАНН, а с един общ акт се установява нарушението при обработване на лични данни, разпореждат се мерки и/или се налага санкция. Председателят на Комисията за защита на личните данни действа като административнонаказващ орган по реда на ЗАНН /чл. 87 от ЗЗЛД/ в определените за това случаи, като настоящият не е такъв. При разглеждане на жалба за нарушение при обработване на лични данни по Регламент/ЕС/ 2016/679, какъвто е процесният случай, от КЗЛД се преценява дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. В случая правилно е прието допуснатото от дружеството нарушение като администратор на лични данни по чл. 5, § 1, б. в от Регламент /ЕС/ 2016/679. Изложените в касационната жалба съображения за допуснати съществени нарушения на съдопроизводствените правила са необосновани. Съдът е изпълнил задължението си по чл. 170, ал. 3 от АПК, като е разпределил доказателствената тежест между страните. Обсъдил е представените от жалбоподателя доказателства, като правилно е приел, че администраторът на лични данни не е предприел съответните мерки, които гарантират спазването на принципите на обработка на личните данни. По отношение на т. 2 и т. 3 от оспореното решение, КЗЛД разполага с оперативна самостоятелност като в съответствие с предоставените й функции преценява кое от правомощията по чл. 58, § 2 от регламента да упражни. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице субект на данни, както и на обществения интерес. Правомощията по чл. 58, § 2 от регламента, без това по б. "и", имат характер на принудителни административни мерки, чиято цел е да предотвратят, респ. да преустановят извършването на нарушение, като по този начин се постигне целеното от него поведение в областта на защитата на личните данни. При определяне на корективната мярка следва да бъде съобразена целта, която се преследва с налагането й и дали с изпълнението й тази цел ще бъде постигната. В конкретният случай съдът намира, че правилно КЗЛД е приела, че в случая е приложима корективната мярка по чл. 58, § 2, б. "г" и б. и" от Регламент /ЕС/ 2016/67, като за целта освен имуществената санкция е разпоредила на администратора да проведе адекватно обучение на служителите си необходимо за спазване на Регламента и ЗЗЛД /т. 3 от Решение ППН-01-283/2022 г. от 07.09.2023 г./. Правилно съдът е анализирал наложените от КЗЛД мярка по чл. 58, § 2, буква г , както и тази по чл.58 § 2, буква и от ОРЗД и законосъобразно е приел, че те са най-подходящи и целесъобразни. С оглед така установените нарушения, правилно и в съответствие с приложимата нормативна уредба, на която се е позовала КЗЛД, на администратора на лични данни е наложена имуществена санкция. В Решение ППН-01-283 от 07.09.2023 г. Комисията е обсъдила всички елементите на чл. 83, § 2 от Регламент /ЕС/ 2016/679, при преценка размера на наложената имуществена санкция съобразена с тежестта на нарушението от страна Сити Кеш ООД, които не се явяват прекомерни. По тези съображения, като е приел, че решението на КЗЛД и в санкционната му част е постановено в съответствие със закона и е отхвърлил жалбата, решаващият съд е постановил законосъобразен съдебен акт, при правилно тълкуване и прилагане на материално правните разпоредби. Избраната мярка е подходяща и съответна на предвидения с нейното налагане санкционен, дисциплиниращ и предупредителен ефект, със същата не се надхвърля необходимото за постигането на тези цели, т. е. постига се целта на закона за осигуряване на ефективна защита при обработка и съхранение на личните данни, а не се нарушава същата. Неоснователни са доводите на касатора за допуснато нарушение на чл. 54, ал. 1, т. 3 от ЗАНН. В случая развилото се производство не е по реда на ЗАНН, а по чл.38, ал.3 от ЗЗЛД. При липса на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора и своевременно заявените претенции от ответните страни следва да им бъдат присъдени претендираните разноски. С определение от 07.11.2024 г. постановено по настоящото дело на адв. М. Пълов особен представител на В. К., касационният съд е определил възнаграждение в размер на 300 /триста/ лв., което е изплатено. На ответната страна - Комисия за защита на личните данни следва да бъде присъдено юрисконсултско възнаграждение в минимален размер на 100 лева на основание чл. 37 от Закона за правната помощ, вр. чл.24 от Наредбата за заплащането на правната помощ. Воден от горното и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, Пето отделение