Решение № 5134 от 24.4.2024 г. на ВАС по адм. д. № 6333/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационната жалба на Кюб Тийм ЕООД, с [ЕИК], представлявано от адв. А. Бузалов, против решение 2217/04.04.2023 г., постановено по адм. дело 1645/2023 г. по описа на Административен съд София град (АССГ), с което е отхвърлена жалбата му срещу Решение ППН-01-949/2021 г. от 06.10.2022 г. на Комисия за защита на личните данни (КЗЛД). В касационната жалба са наведени доводи за неправилност на решението поради съществени нарушения на съдопроизводствените правила, противоречие с материалния закон и необоснованост касационни основания за отмяна по чл. 209, т. 3 от АПК. По развити в жалбата съображения се иска отмяна и връщане на делото за разглеждане от друг състав на първоинстанционния съд, алтернативно постановяване от касационната инстанция на решение по същество, с което да се отмени изцяло като незаконосъобразно решението на КЗЛД или ако същото бъде прието за правилно, да се отмени наложената с него принудителна административна мярка. Претендира присъждане на сторените по делото разноски за двете съдебни инстанции, съгласно представен списък. Ответната страна Комисията за защита на личните данни оспорва касационната жалба като неоснователна. По изложени в становището съображения моли атакуваното първоинстанционно решение да бъде оставено в сила като валидно, допустимо и правилно. Претендира разноски за настоящата инстанция, а в условията на евентуалност прави възражение за прекомерност на претендираното от касатора адвокатско възнаграждение. Ответната страна З. Стоев не изразява становище по касационната жалба. Представителят на Върховна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни основания по чл. 209 от АПК, и в рамките на правомощията си по чл. 218, ал. 1 и ал. 2 от АПК, приема следното от фактическа и правна страна: Касационната жалба е подадена в законоустановения срок и от надлежна страна против подлежащ на касационно оспорване съдебен акт, поради което е процесуално допустима. Разгледана по същество е неоснователна по следните съображения: Предмет на съдебен контрол за законосъобразност пред АССГ е Решение ППН-01-949/2021 г. от 06.10.2022 г. на КЗЛД, с което Комисията е обявила жалбата на З. Стоев за основателна и на основание чл. 58, § 2, буква г от Регламент (ЕС) 2016/679 за нарушение на чл. 5, § 1, буква б от същия регламент е издала разпореждане на администратора Кюб Тийм ЕООД с [ЕИК] да заличи данните на жалбоподателя, за което е определен двуседмичен срок от получаване на решението. За да постанови това решение, АССГ е приел, че оспореният административен акт е издаден от компетентен орган в рамките на предоставените му правомощия, в предвидената от закона писмена форма, при наличие на установените в чл. 59 от АПК реквизити и при липса на допуснати нарушения на административнопроизводствените правила. По отношение на преценката за съответствие на акта с материалния закон съдът е потвърдил като правилни констатациите на административния орган, че в случая е налице незаконосъобразно обработване на личните данни на З. Стоев, което обосновано и законосъобразно е довело до налагане на мярката по чл. 58, § 2, буква г от Регламент (ЕС) 2016/679. Приел е за безспорно установено, че личните данни на жалбоподателя (ответник в настоящото производство) фигурират и са достъпни в сайта на дружеството - [интернет адрес], което с оглед липсата на предпоставките по чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679 представлява нарушение на принципите, залегнали с нормата на чл. 5, § 1, буква б от същия регламент. Решението е правилно. Първоинстанционният съд въз основа на относимите към спора доказателства е установил правилно фактическата обстановка по спора, а именно: КЗЛД е сезирана с жалба от З. Стоев с твърдения за неправомерно обработване на личните му данни от страна на Кюб Тийм ЕООД посредством публикуването им в публична база данни, достъпна на поддържания от дружеството уебсайт - [интернет адрес]. Не е спорно по делото, че посочените от лицето лични данни са били предоставени лично от него в обем: три имена, ЕГН и точен адрес за целите на вписването му в регистър БУЛСТАТ със заявление за вписване на обстоятелства относно физическо лице по чл. 3, ал. 1, т. 9 или осигурител по чл. 3, ал. 1 ,т. 11 от Закона за регистър БУЛСТАТ (ЗРБ), като упражняващ дейността музикален оформител . Предоставените от З. Стоев за тази цел лични данни на регистър БУЛСТАТ са били публично оповестени именно за целите на регистъра. Не се спори между страните, че същите данни, оповестени в регистър БУЛСТАТ, фигурират и са достъпни за клиентите на дружеството на посочения по-горе уебсайт. В базата данни на Кюб Тийм ЕООД са видни абсолютно същите данни, каквито и в регистър БУЛСТАТ, като те са достъпни за клиенти на дружеството в рамките на предоставяните от него услуги през сайта [интернет адрес]. Не е спорно също така, че физическото лице не е давало съгласието си, личните му данни да бъдат обработвани за целите на попълване на публичната база данни, поддържана от търговското дружество. При тези обстоятелства първоинстанционният съд е приел, че общодостъпността на информацията в публичната част от регистър БУЛСТАТ, която се събира, структурира и публикува в обем и вид, посочен в закона, и в изпълнение на предвиденото законово задължение на Агенция по вписванията, съгласно ЗРБ, не обуславя легитимност на последващото обработване на тази информация от Кюб Тийм ЕООД, за което не е налице нито едно от условията за законосъобразност по чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679. Правилен е изводът на първоинстанционния съд, потвърждаващ този на административния орган, че обработването на личните данни на З. Стоев в сайта на дружеството и разпространението им в интернет пространството посредством публикуването им в създадената и поддържана от дружеството база данни (макар и достъпна само за неговите клиенти), без наличие на условия за законосъобразност по смисъла на чл. 6, § 1, букви а - е от Регламент (ЕС) 2016/679, е неправомерно и представлява нарушение на чл. 5, § 1, буква б от Регламент (ЕС) 2016/679. Съгласно чл. 4, точка 2 от Регламент (ЕС) 2016/679 обработване означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679 са изброени основанията за законосъобразно обработване, а именно само ако и доколкото е приложимо поне едно от следните условия: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. По делото няма твърдения и не се установява субектът на данните да е дал съгласие за обработване на личните му данни за една или повече конкретни цели, да е налице договор, по който субектът на данните е страна или обработването да е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго физическо лице. Липсва позоваване и на съществуващо законово задължение, приложимо спрямо Кюб Тийм ЕООД, за спазването на което да е необходимо обработването на лични данни на З. Стоев. Не е налице и хипотеза на изпълнение на задача от обществен интерес или упражняване на официални правомощия от страна на дружеството. Както правилно е посочено в процесното решение на КЗЛД, не се доказва и наличието на легитимен интерес за Кюб Тийм ЕООД да обработва личните данни на оспорващото физическо лице, доколкото в случая този легитимен интерес не се припокрива с търговския интерес на дружеството от поддържане на въпросната база данни, чрез която то предоставя услуги на своите клиенти. Настоящият съдебен състав споделя извода на първоинстанционния съд, че в случая не са налице условията на чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679 за законосъобразно обработване на личните данни на З. Стоев чрез публикуването и разпространяването им в сайта на дружеството и достъпването им от клиенти на същото. В това отношение АССГ обосновано е посочил, че обстоятелството, че З. Стоев е осъществил действия по регистрация в регистър БУЛСТАТ, където данните му са публично оповестени за целите на регистъра, т.е. действията му са породени от неговата лична воля и съгласие, не съставлява само по себе си основание за последващото им обработване от Кюб Тийм ЕООД. За дружеството липсва законово основание, такова каквото съществува за Агенция по вписванията в хипотезата на чл. 6, § 1, буква в от Регламент (ЕС) 2016/679, за обработване на личните данни на З. Стоев. Възможността за достъп до публично оповестените данни на лицето в регистър БУЛСТАТ не обуславя автоматично извод за законосъобразност на обработването им от страна на дружеството за целите на поддържаната от него база данни в сайта [интернет адрес], при положение, че за това обработване не е налице нито едно от условията, предвидени в чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679. като е обработвал лични данни на физическото лице Кюб Тийм ЕООД е допуснало нарушение на основните принципи, залегнали в разпоредбата на чл. 5, § 1, буква б от Регламент (ЕС) 2016/67, в какъвто смисъл е и извода на административния съд. Неоснователни са наведените в касационната жалба оплаквания за допуснати от съда съществени нарушения на съдопроизводствените правила. Необсъждането в пълнота на всички наведени в първоинстанционната жалба доводи, доколкото същото не се отразява на постановения с решението краен правен резултат, не обуславя наличие на съществено процесуално нарушение. Тезата на касатора, заявена още в хода на административното производство, а именно, че предоставяните от него данни чрез портала [интернет адрес] не съставляват лични данни на физическо лице по смисъла на Регламент (ЕС) 2016/679, а касаят информация за стопански субект, не може да бъде споделена. Както е посочил в решението си АССГ, в разпоредбата на чл. 4, точка 1 от Регламент (ЕС) 2016/679 е дадено легално определение на понятието лични данни и това е всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ( субект на данни ); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. В тази връзка обстоятелството, че З. Стоев е предоставил лични данни за целите на вписването в регистър БУЛСТАТ, където тези данни са публично оповестени съгласно правилата на ЗРБ, не лишава същите от характеристиките, включени в понятието лични данни, посочени по-горе, след като е безспорно, че по тези данни физическото лице е идентифицирано или може да бъде идентифицирано. Още по-малко може да се приеме тезата, че публичният достъп до тези данни в регистър БУЛСТАТ, който се води и поддържа от Агенция по вписванията като администратор на лични данни, изпълняващ конкретни, законово регламентирани цели и задължения, може да служи като основание за последващото им обработване от друг администратор, в случая Кюб Тийм ЕООД, когато за това обработване не е приложимо някое от условията за законосъобразност, предвидени в чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679. В случая ирелевантен е фактът, че базата данни на дружеството е изцяло съответства на информацията от публичните регистри на Агенция по вписванията, т.е. съдържащите се в онлайн платформата [интернет адрес] данни не надхвърлят по обем данните, оповестени в регистър БУЛСТАТ. Незаконосъобразността на обработването на лични данни от страна на дружеството се изразява в поддържането за собствени цели на самостоятелна база данни, в която фигурират и тези на З. Стоев, и в продължаващото им предоставяне на клиенти на дружеството, без за това да е налице някое от условията по чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679. Ирелевантно за констатацията за извършено нарушение в случая е и дали в резултат от действията по съхраняване и разпространяване на съответните данни от дружеството са настъпили конкретни вреди за жалбоподателя. Нарушението е обективирано с факта на неправомерното обработване на личните данни на З. Стоев при описаните в решението на КЗЛД обстоятелства, които се потвърждават изцяло от събраните по делото доказателства. Неоснователно е и оплакването в касационната жалба, че кодът, с който физическите лица, вписани в регистър БУЛСТАТ се идентифицират, е бил посочван и именуван в системата на Кюб Тийм ЕООД само и единствено като ЕИК и този код не може да се приеме, че представлява лични данни на определено лице. В оспореното пред АССГ решение на КЗЛД, чиито мотиви са споделени от първоинстанционния съд, детайлно са анализирани настъпилите законодателни промени в ЗРБ именно с цел хармонизиране на българското законодателство с принципите, заложени в Регламент (ЕС) 2016/679 относно защитата на физическите лица. Обстоятелството, че с предвидените промени кодът по БУЛСТАТ на физическите лица, който към момента на подаване на жалбата съвпада с ЕГН на физическото лице, впоследствие е преобразуван от 10-цифров в 9-цифров код, не може да обоснове извод за законосъобразност на обработването на лични данни от страна на касатора, тъй като, както бе посочено по-горе, това обработване не се основава на някое от условията по чл. 6, § 1, букви а е от Регламент (ЕС) 2016/679. Както е прието и от страна на КЗЛД, и от първоинстанционния съд, за дружеството съществува възможност за достъп до тези данни в публичната част на регистър БУЛСТАТ, но не и за тяхното по-нататъшно обработване. Доводите за необоснованост на съдебното решение също са неоснователни. Данните са предоставени от физическото лице на Агенция по вписванията, за която в качеството й на администратор на лични данни е налице условието по чл.6, § 1, буква в от Регламент (ЕС) 2016/679 обработването е необходимо за спазване на законово задължение. По отношение на касатора подобно обстоятелство не е налице. Същият има право на достъп до тези данни, които са публични, но в случая не се доказва законово основание за него да извършва последващата им обработка, която е несъвместима с целите, за които данните са били първоначално предоставени на Агенция по вписванията. По отношение на администратора на лични данни е необходимо да съществува легитимно основание за обработване на лични данни на физически лица, каквото не е доказано по делото от страна на Кюб Тийм ЕООД. Предвид изложеното се налага извод за правилност на обжалваното първоинстанционно решение като постановено при отсъствие на сочените от касатора основания за отмяна по чл. 209, т. 3 от АПК. Не се установяват и основанията по чл. 209, т. 1 и т. 2 от АПК, за които касационната инстанция следи служебно, поради което решението като валидно, допустимо и правилно следва са бъде оставено в сила. С оглед изхода на спора, на КЗЛД следва да бъде присъдено юрисконсултско възнаграждение в размер на 200,00 (двеста) лв. на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ, във вр. с чл. 24 от Наредбата за заплащането на правната помощ, предвид фактическата и правна сложност на делото. По изложените съображения и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение