Решение № 6597 от 20.6.2023 г. на ВАС, V о.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП, Агенцията) чрез процесуален представител срещу решение 5053 от 25.07.2022 г., постановено по административно дело 3299/2022 г. от Административен съд София - град (АССГ), с което е отхвърлена жалбата на Агенцията против решение ППН-01-822/2020/16.08.2021 г. на Комисията за защита на личните данни /КЗЛД/. По наведени доводи за неправилност на решението на всички основания посочени в чл. 209, т. 3 АПК, касаторът иска отмяната му и постановяване на ново по съществото на спора, с което оспореният пред АССГ административен акт бъде отменен. Претендира присъждане на разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба Комисията за защита на личните данни (КЗЛД) не взема становище по същата. Ответникът по касационната жалба С. Атанасова - Димова не излага становище по същата. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Върховният административен съд (ВАС), състав на Пето отделение при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Предмет на проверка за законосъобразност пред АССГ е било решение ППН-01-822/2020/16.08.2021 г. на КЗЛД, с което на основание чл. 83, пар. 4, б. а, вр. чл. 58, пар. 2, б. и от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (ОРЗД, Регламент (ЕС) 2016/679, Регламента) е наложено на Национална агенция по приходите административно наказание - имуществена санкция в размер на 5000 лева за нарушение на чл. 32, пар. 4 от Регламента за това, че служител на НАП, ангажиран със съобщаването на административни актове, е изпратил имейл съдържащ информация относно четири имена, единен граждански номер и адрес за кореспонденция до грешен имейл адрес, който не е посочен от адресата на данъчния акт и настоящ ответник. За да постанови процесното решение, АССГ е приел, че оспореното пред него решение на КЗЛД е издадено от компетентен орган в изискуемата от закона форма и съдържание - с посочени фактически и правни основания за неговото издаване и при липса на допуснати съществени нарушения на административно производствените правила, като е заключил, че не са налице основания за неговата отмяна и е отхвърлил подадената от настоящия касатор жалба. Решението е постановено при правилно приложение на материалния закон. На първо място следва да се отбележи, че съгласно определенията дадени в чл. 4, т. 7 и т. 8 от Регламент (ЕС) 2016/679 администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка, а обработващ лични данни" е всяко физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. От горното се извежда, както правилно е отбелязал АССГ, че НАП безспорно е администратор на лични данни и обработващ такива по смисъла на цитираните разпоредби, респективно обработва и определя целите за обработването им. На следващо място следва да се посочи, че изпратените погрешно и процесни пред АССГ данни категорично попадат в обхвата на лични такива по смисъла на чл. 4, т. 1 от Регламент 2016/679. Съгласно последния лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано (субект на данни); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. В тази връзка изпратените лични данни четири имена, ЕГН и адрес за кореспонденция безспорно са информация за физическо лице, което може да бъде идентифицирано посредством тях, като същата е станала достояние на трето лице, посредством изпращането им на грешен електронен адрес, което само по себе си представлява разпространение на данните и същото е конкретно посочено като действие по обработване в разпоредбата на чл. 4, т. 2 от Регламент 2016/679. След анализа на дефинициите, регламентирани в европейското законодателство безспорно се установява, че е налице нарушение на посочената от административния орган норма на чл. 32, ал. 4 от Регламента, съгласно която администраторът и обработващият лични данни /какъвто вече се установи безспорно че НАП е/ предприемат стъпки всяко физическо лице, действащо под ръководството на администратора или на обработващия лични данни, което има достъп до лични данни, да обработва тези данни само по указание на администратора, освен ако от въпросното лице не се изисква да прави това по силата на правото на Съюза или правото на държава членка. В тази връзка правилно е заключението на административния съд, че служителят на НАП, след като се е усъмнил в правилното изписване на електронния адрес на адресата и настоящ ответник, е изпратил повторно електронното писмо на друг грешен такъв, като по този начин е разпространил неправомерно данните съдържащи се в него. По отношение на наложената санкция настоящият съдебен състав отново приема изводите на първоинстанционния такъв за обосновани и правилни и не следва да преповтаря същите по арг. чл. 221, ал. 2, изр. последно АПК. Избраната мярка е подходяща и съответна на предвидения с нейното налагане санкционен, дисциплиниращ и предупредителен ефект, като със същата не се надхвърля необходимото за постигането на тези цели, а напротив - постига се целта на закона за осигуряване на ефективна защита при обработка и съхранение на личните данни. От изложените до тук, се налага извод за правилност и законосъобразност на обжалваното пред касационната инстанция решение на АССГ. Същото, като постановено при отсъствие на касационни основания за отмяна, следва да бъде оставено в сила от настоящия съдебен състав. С оглед изхода на спора и при липса на претенция за присъждане на съдебни разноски от страна на ответниците по касация, на същите не следва да присъждат такива. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение