Решение № 6051 от 30.04.2013 г. на ВАС по адм. д. № 11539/2012 г.

Решение № 6051 от 30.04.2013 г. на ВАС по адм. д. № 11539/2012 г., V о., докладчик съдията Илиана Славовска Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК), във вр. с чл. 38, ал. 6 от Закона за защита на личните данни (ЗЗЛД). Образувано е по касационна жалба Комисията за защита на личните данни (КЗЛД) срещу решение № 3854 от 09.07.2012 г., по адм. дело № 8433/2011 г. от Административен съд София - град (АССг), с което е отменено нейно решение № 2045/08.08.2011 г., в частта му по т. 2. Счита решението за неправилно, като постановено в нарушение на материалния закон и необосновано и моли за отмяната му. Ответникът - "ВиЕмУеър България" ЕООД, чрез процесуалния си представител оспорва жалбата и моли съда да постанови решение, с което да остави в сила решението на първоинстанционния съд. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на жалбата. Върховният административен съд - Пето отделение при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените касационни основания приема за установено следното: Касационната жалба е подадена от активно легитимирана страна в срока по чл. 211 АПК и е процесуално допустима, а разгледана по същество е основателна, поради следните съображения: Ответникът "ВиЕмУеър България" ЕООД е регистриран администратор на лични данни, поддържащ следните регистри: 1. "персонал" - лични данни за служители и кандидати за работа; 2. "доставчици" - лични данни относно доставчика, определени лица за контакт и проспекти на доставчици и 3. "видео наблюдение" - лични данни относно служители и кандидати за работа, както и посетители на помещенията на администратора. Производството пред административния орган е образувано по молба на ответника до касатора за одобрение за прехвърляне на лични данни от български администратор лични данни на такъв в САЩ на основание чл. 36а, ал. 4, т. 1 ЗЗЛД за всички поддържани от него регистри. С решение № 2045 от 08.09.2011 г. КЗЛД разрешила на ответника да предостави лични данни на физически лица - служители и доставчици на администратора на дружество на територията на трета страна - "ВиЕмУеър Инк" САЩ за целите на глобалното администриране и управление на човешките ресурси, управление на бизнес отношения с доставчици; управление и работа на системи за сигнализиране на нарушения, разследвания и приложения на вътрешни правила за поведение в конкретно посочен обем и не дала разрешение да предостави снимки и видеозаписи на служители на администратора и посетител в помещенията на администратора от регистър "видео наблюдение". За да постанови отказа да разреши предоставяне на лични данни от регистър "видео наблюдение" на служители и посетители административният орган приел, че политиката на дружеството за защита на личните данни не са разграничени двете категории лица - служители и посетители и за целите, за които се налага трансферът е налице прекомерност на искания такъв, а освен това по преписката не били представени доказателства, които да установяват факт, че посетителите са информирани за събирането и целите на обработката на техните лични данни, вкл. за трансферирането им в трета държава. Приел още, че в случая са изпълнени изискванията на европейското законодателство за адекватно ниво на защита на личните данни в третата държава, при което КЗЛД не извършва преценка в случаите, когато е необходимо изпълнение на решение на Европейската комисия, с което тя се е произнесла, че третата държава, в която се предоставят личните данни осигурява адекватно ниво на защита. В обжалваното пред настоящата инстанция решение е прието, че в конкретния случай КЗЛД, с оглед разпоредбата на чл. 36а, ал. 1 и ал. 2 ЗЗЛД действа при условията на обвързана компетентност, макар съгласно ал. 4 (сега ал. 5, ДВ, бр. 81/2011 г.) на чл. 36а ЗЗЛД да предвижда, че комисията не извършва преценка на адекватността на нивото на защита на личните данни, в случаите, когато е необходимо изпълнение на решение на Европейската комисия (ЕК), с което тя се е произнесла, че третата държава, в която се предоставят лични данни, осигурява адекватно ниво на защита или определени стандартни договорни клаузи осигуряват такава. За да отмени административния акт, в обжалваната пред него част съдът приел, че е налице противоречие между разрешената на администратора на лични данни обработка на такива от регистър "видео наблюдение", изразена в записване и съхраняване и отказа да предостави разрешение за трансфер на същите, тъй като по същество тези дейности са различни проявни форми на "обработката на личните данни" по смисъла на § 1, т. 1 от ДР на ЗЗЛД. Счита, че в тази насока изложените мотиви от административния орган са неясни и противоречиви, както и че позоваването на чл. 34а, ал. 1, т. 2, във вр. с ал. 2 ЗЗЛД в акта е непрецизно и в нарушение на приложимите законови норми. Решението е неправилно. В случая, съгласно нормата на чл. 36а, ал. 2 ЗЗЛД предоставянето на лични данни в трета държава се допуска само ако тя осигурява адекватно ниво на защита на личните данни на своя територия. Критериите за тази преценка са посочени в нормата на чл. 36а, ал. 3 ЗЗЛД - всички обстоятелства, свързани с действието или съвкупността от действията по предоставяне на данните, включително характера на данните, целта и продължителността на обработването им, правната уредба и мерките за сигурност, осигурени в третата държава. Съгласно нормата на чл. 36а, ал. 5 ЗЗЛД (към момента на постановяване на административния акт ал. 4 от цитирания текст) КЗЛД не извършва преценката по ал. 3, когато е необходимо изпълнение на ЕК, с което тя се е произнесла, че третата държава, в която се предоставят лични данни, осигурява адекватно ниво на защита или определени стандартни договорни клаузи осигуряват адекватно ниво на защита. Същевременно чл. 25, ал. 1 от Директива 95/46/ЕО на Европейския парламент и на съвета от 24.10.1995 г. за защита на физическите лица при обработването на лични данни и свободното движение на тези данни предвижда, че държавите - членки предвиждат, че предаването на лични данни, които са подложени на обработка или са предназначени за обработка след предаването им на трета страна, може да се извършва само ако без да се засяга спазването на националните разпоредби, приети в съответствие с тази директива, въпросната трета страна гарантира достатъчна степен на защита. Съгласно чл. 25, ал. 2 от Директивата достатъчният характер на степента на защита, предоставяна от третата стана се преценява в светлината на всички обстоятелства, свързани с операцията по предаването на данни или набор от операции по предаване на данни; специално внимание се обръща на характера на данните, целта и продължителността на предлаганата операция или операции по обработката им, на страната по произхода и страната по крайното местоназначение, на законовите правила, както общи, така и секторни, които са в сила във въпросната трета страна, както и на професионалните правила и мерките за сигурност, които се спазват в тази страна. Разпоредбата на ал. 6 на чл. 25 от Директивата дава възможност Комисията да констатира, в съответствие с процедурата, посочена в чл. 31, ал. 2, че третата страна гарантира достатъчна степен на защита по смисъла на ал. 2 на настоящия член, по силата на вътрешното си законодателство или на международните споразумения, сключени от нея, и по-конкретно след приключване на преговорите, упоменати в ал. 5, за защитата на личния живот и на основните свободи и права на лицата, като държавите-членки предприемат необходимите мерки за спазване на решението на Комисията. С решение 520 от 26.07.2000 г. ЕК, в съответствие с чл. 25, ал. 6 от Директивата е приела, че принципите на "сфера на неприкосновеност на личния живот" (принципите), посочени в приложение I към решението, прилагани съгласно насоките, представени като "често задавани въпроси" (ЧЗП), посочени в приложение II гарантират адекватно ниво на защита на личните данни, предавани от Общността към организации, установени в САЩ, имайки предвид посочени конкретни документи, издадено от Департамента по търговия в САЩ. Съгласно приложение едно към Решението първият посочен принцип е този на нотификация, предвиждащ задължение всяка организация да информира физическите лица за причините за събирането и използването на лична информация, за начините да се свържат с нея за запитвания или оплаквания, за видовете трети лица, на които тази информация ще бъде разкрита, за възможността за избор и средствата, които предлага организацията на физическите лица с оглед ограничаване използването и разкриването на тези данни. Това известие трябва да бъде предоставено на ясен и разбираем език, когато заинтересованите лица бъдат поканени за пръв път да предоставят лична информация на организацията или веднага след като стане възможно, но във всички случаи, преди тези данни да бъдат използвани от организацията за цел, различна от тази, за която са били първоначално събирани или обработени от организацията, която извършва предаването или разкриването им за първи път на трето лице. Като втори принцип е посочен принципът на избор, съгласно който всяка организация трябва да предлага на физическите лица възможността да изберат ("opt out") дали личната информация за тях може да бъде разкрита на трето лице или да бъде използвана за несъвместими цели с предназначението или предназначенията, за които тези данни са били първоначално събирани или за които по-късно са получили разрешение от физическите лица. Последните трябва да разполагат с ясни и разбираеми механизми, леснодостъпни и с разумна цена, за направят своя избор. Като трети принцип е посочен този на последващо предаване, съгласно който за да разкрият информацията на трето лице, организациите трябва да прилагат принципите на известието и подбора. Предвид така установените изисквания на общностното право, което е с примат над вътрешното законодателство, настоящият състав намира, че в случая неправилно първоинстанционният съд е приел, че обжалваният пред него административен акт е постановен при неправилно и противоречиво приложение на материалното право. В случая, административният орган е извършил дължимата проверка, съгласно изискванията на общностното право и правилно е преценил, че в конкретния случай не са налице предпоставките за исканото предоставяне на обработвани от администратора лични данни поради това, че лицата, посетители в помещения на администратора не са били уведомени за събирането на личните им данни, както и за искания трансфер. Макар в административния акт да липсва позоваване на Решение 520/2000 г. на ЕК, в случая този извод е в съответствие с принципите за нотификация, избор и последващо предаване, публикувани от Департамента по търговия на САЩ на 21.07.2000 г., представляващи неразделна част от цитираното решение на ЕК. Независимо от обстоятелството, че администратора на лични данни е предоставил на органа доказателства, че организацията в третата държава, на която се иска да бъдат предоставени личните данни обработвани от него отговаря на изискванията за адекватна защита на личните данни, в случая правилно органът е отказал да разреши трансфера, тъй като самият администратор не е изпълнил условията за това, посочени по-горе. Ето защо обжалваното решение следва да бъде отменено, като постановено в нарушение на материалния закон, като вместо него следва да бъде постановено ново, с което жалбата на "ВиЕмУеър България" ЕООД срещу Решение № 2045, в частта му по т. 2, от 08.09.2001 г. на КЗЛД следва да бъде отхвърлена като неоснователна. По изложените съображения и на основание чл. 222, ал. 1 във вр. с чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение