Решение № 9281 от 29.7.2024 г. на ВАС по адм. д. № 4547/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс.

Образувано е по касационна жалба на министъра на вътрешните работи срещу решение 918 от 12.02.2024 г. по адм. дело 6355/2023 г. на Административен съд София град, с което е изменено решение ППН-01-677/2020 г. от 09.05.2023 г. на Комисията за защита на личните данни в частта по т. 21 като е намален размерът на имуществената санкция, наложена на основание член 83, параграф 5 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на личните данни) във връзка с чл. 85, ал. 3 от Закона за защита на личните данни на министъра на вътрешните работи за нарушение на чл. 53, ал. 3 във връзка с чл. 56, ал.3 ЗЗЛД, от 2000лв. на 1000лв. и е отхвърлена жалбата срещу решението на КЗЛД в частта по т. 1, 3, 4 и 5. В касационната жалба се излагат доводи за неправилно приложение на материалния закон и необоснованост при постановяване на съдебния акт касационни основания за отмяна по чл. 209, т. 3 АПК и се иска да се отмени решението в оспорените части като се уважи изцяло първоначалната жалба.

Комисията за защита на личните данни е подала касационна жалба срещу решение 918 от 12.02.2024 г. по адм. дело 6355/2023 г. на Административен съд София град, в частта, с която е изменено решението й ППН-01-677/2020 г. от 09.05.2023 г. в частта по т. 2, като е намален размерът на наложената имуществена санкция на министъра на вътрешните работи от 2000лв. на 1000лв. Излага доводи за неправилност на съдебния акт в частта, с която е намален размерът на имуществената санкция и иска да се отмени като се отхвърли първоначалната жалба. Поддържа, че в останалата част решението е правилно и не са налице касационни основания за отмяната му.

Прокурорът от Върховната прокуратура дава мотивирано заключение, че обжалваното решение е правилно и не са налице касационни основания за отмяната му.

Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационните жалби са процесуално допустими като подадени в законния срок и от надлежни страни. За да се произнесе по съществото им, приема следното:

Производството пред Административен съд София град е образувано по оспорване на министъра на вътрешните работи срещу Решение ППН-01-677/2020 г. от 09.05.2023 г. на Комисията за защита на личните данни, с което на основание чл. 38, ал. 3 ЗЗЛД, Комисията е решила следното:

1. Обявила е жалба ППН-01-677/28.09.2020 г. за основателна.

1. На основание чл. 83, § 5 от Регламент ЕС 2016/679, във връзка с чл. 85, § 3 ЗЗЛД е наложила на министъра на вътрешните работа имуществена санкция в размер на 2 000 лв. за нарушение на чл. 53, ал. 3 във връзка с чл. 56, ал. 3 ЗЗЛД.

1. На основание чл. 83, § 5 от Регламент ЕС 2016/679, във връзка с чл. 85, § 3 ЗЗЛД е наложила на министъра на вътрешните работи имуществена санкция в размер на 2 000 лв. за нарушение на чл. 45, ал. 1, т. 5 ЗЗЛД.

1. На основание чл. 58, § 2, буква г ОРЗД и за нарушение на чл. 45, ал. 1, т. 5 ЗЗЛД е издала разпореждане на министъра на вътрешните работи, в качеството му на администратор на лични данни, да съобрази операциите по изтриване на личните данни с разпоредбите на ЗЗЛД, специалния закон и подзаконови актове, като предприеме необходимите технически и организационни мерки включително по текущ, последващ и периодичен контрол и проверки относно изтриване на лични данни при настъпване на обстоятелствата по чл. 3 от Инструкция 81213-748/20.10.2014 г. за определяне на срокове за съхранение на лични данни, обработвани в МВР във връзка с провеждане на наказателно производство по реда на НПК и на проверки за наличие на данни престъпления от общ характер.

1. Определила е тримесечен срок за изпълнение на разпореждането, считано от влизане на решението в сила, след което да уведоми комисията за изпълнението като представи съответните относими доказателства, в това число заверено копие на протокол за преглед и изтриване на личните данни с изтекъл срок за съхранение по чл. 3 от Инструкция 81213- 748/20.10.2014 г. от информационните фондове.

Съдът коректно е приел за установени от фактическа страна следните обстоятелства:

Комисията за защита на личните данни е сезирана с жалба от Р. К. срещу Министерството на вътрешните работи с доводи за неправомерно обработване на личните му данни и непроизнасяне в срок по негово заявление за заличаване на лични данни.

Във връзка с оплакванията от заинтересованото лице, по делото е установено, че за Р. К. се обработват лични данни като извършител по БП (ЗМ) 150/23.03.2005 г. по описа на РУ-Ботевград по чл. 343б НК - за управление на МПС след употреба на алкохол. С решение от 24.11.2005 г. по дело 729/2005 г. Ботевградският районен съд е признал Р. К. за виновен в това, че на 20.03.2005 г. като водач е управлявал МПС с концентрация на алкохол в кръвта над 1,2 на хиляда, а именно 1,6 на хиляда, установено по надлежния ред - престъпление по чл. 343б НК, като на основание чл.78а НК го освобождава от наказателна отговорност с налагане на административно наказание глоба, както и лишаване от правоуправление за срок от 8 месеца. Решението е влязло законна сила на 16.12.2005 година.

Р. К., след като узнал, че към 2020 г. тази информация продължава да се съхранява в информационните фондовете на МВР, със заявление с peг. 32860564/18.06.2020 г. по описа на ГД Национална полиция е поискал изтриването на неговите лични данни.

С писмо peг. 3286р31457/20.07.2020 г., административната преписка по заявление с вх. 328605- 64/2020 г. ведно със заявлението е изпратена по компетентност на ОД на МВР София, на основание чл. 15, ал. 1, вр. чл. 14, ал.4 от Вътрешните правила за организация на работата в МВР по постъпили заявления от физически лица във връзка с обработването на техните лични данни в МВР, утвърдени със Заповед рег. 81213 -1110 от 08.10.2019 г. на министъра на вътрешните работи. По повод отправено по електронен път на 23.08. 2020 година запитване от К. по подаденото от него заявление, с писмо от 10.09.2020г. директорът на ГД Национална полиция го уведомил, че заявлението му е изпратено по компетентност на ОД на МВР-София.

На 28.09.2020 г. К. е сезирал Комисията за защита на личните данни с описаната по-горе жалба.

С Решение рег. 517р-19424/05.10.2020 година на директора на ОД на МВР - София е постановено личните данни на Р. К., обработвани в информационните фондове на МВР за ЗМ 150/23.03.2005 г. по описа на РУ-Ботевград по чл.343б НК - за управление на МПС след употреба на алкохол, да бъдат изтрити.

С решение по т. 7 от протокол 38/19.10.2022 г. Комисията е приела единодушно жалбата на Р. К. за допустима, конституирала е министъра на вътрешните работи като ответник и е насрочила открито заседание на 25.01.2023 г. от 13.00 часа. с призоваване на страните. В проведеното открито съдебно заседание страните или техни представители не са се явили, жалбата на Р. К. е разгледана по същество и е приет проект на решение с т. 10 от Протокол 02/25.01.2023 г. на КЗЛД. В резултат на проведеното административно производство КЗЛД е приела обжалваното решение ППН-01-677/2020 г. от 09.05.2023 г.

Съдът е анализирал точно подробно описаните релевантни факти и е достигнал до обосновани правни изводи.

Въз основа на фактическите установявания съдът правилно и в съответствие с чл. 38, ал. 1 ЗЗЛД е приел, че административният орган е сезиран с допустима жалба и е отхвърлил като неоснователни аргументите, че комисията е сезирана след изтичане на 6-месечния срок от узнаване на нарушението и в рамките на две години от извършването му, доколкото същото не е било преустановено и към момента на подаване на жалбата до органа.

Правилни са изводите на съда, че решението е прието от компетентния административен орган, в предписаната от закона форма и съдържание, след законосъобразно проведено административно производство и в съответствие с материалния закон.

Правото на заличаване на обработваните лични данни от администраторите на лични данни е гарантирано в чл. 17 от Регламент (ЕС) 216/679 и в чл. 56, ал. 2 ЗЗЛД. Разпоредбата на чл. 28, ал. 1 ЗМВР предвижда заявленията за упражняване на права от субектите на данни по чл. 12 22 от Регламент (ЕС) 2016/679, съответно по чл. 53 56 ЗЗЛД да се разглеждат от администратора на лични данни или оправомощени от него длъжностни лица.

Съгласно чл. 29, ал. 1 ЗМВР администратор на лични данни е министърът на вътрешните работи, който може да възлага обработването на лични данни на определени от него длъжностни лица. В чл. 53, ал. 1 ЗЗЛД е предвидено, че администраторът предприема необходими мерки за предоставяне на субекта на данни на информацията по чл. 54 и за кореспонденция с него във връзка с чл. 52, ал. 5, чл. 55 58 и чл. 68 относно обработването на лични данни в сбита, разбираема и леснодостъпна форма, като използва ясен и прост език. Според правилото на 53, ал. 3 ЗЗЛД администраторът отговаря на искането на субекта на данни или го информира писмено за действията, предприети във връзка с неговото искане, в срок до два месеца от получаване на искането. Срокът може да се удължи с още един месец, когато това се налага заради сложността или броя на исканията.

В обсъждания случай съдът правилно е приел, че администраторът на лични данни се е произнесъл по искането на субекта на данни с решение на 05.10.2020 г., т.е. след изтичане на срока по чл. 53, ал. 3 ЗЗЛД. Съдът е отбелязал, че няма данни по административната преписка за наличие на предпоставките по чл. 53, ал. 3 ЗЗЛД за удължаване на срока за произнасяне сложност или брой на исканията, а и тази възможност не е била използвана от администратора на данни. Допуснатото нарушение на чл. 53, ал. 3 ЗЗЛД съставлява основание за ангажиране на отговорността на администратора на лични данни по чл. 85, ал. 3 ЗЗЛД във връзка с чл. 83, § 5 от Общия регламент за защита на данните. Поради това съдът правилно е приел, че Комисията за защита на личните данни законосъобразно е наложила административно наказание на министъра на вътрешните работи в качеството му на администратор на лични данни.

Съдът е обсъдил вида на предвиденото административно наказание имуществена санкция и правилно е посочил, че министърът на вътрешните работи в качеството на администратор на лични данни носи административнонаказателна отговорност и с оглед целите на специалния закон КЗЛД е наложила предвидената в чл. 85, ал. 3 във връзка член 83, § 5 от Регламент (ЕС) 2016/679 имуществена санкция. На следващо място съдът е обсъдил съответствието на размера на наложената имуществена санкция с тежестта на допуснатото нарушение. В тази връзка е изложил точни и аргументирани съображения за прекомерност на размера на наложената имуществена санкция предвид забавянето на произнасянето с по-малко от два месеца след изтичане на инструктивния срок по чл. 53, ал. 3 ЗЗЛД и обстоятелството, че действията по заличаване са предприети преди администраторът да е уведомен за сезирането на КЗЛД, т.е. няма данни че забавата е преустановена поради сезирането на административния орган. Видно от данните по административната преписка след сезиране от субекта на данни, са предприети организационни действия от администратора на данни в съответствие с вътрешните правила в МВР за произнасяне по искането. Изводът на съда, че следва да се намали санкцията от 2000лв. на 1000лв., който размер е приел за пропорционален на тежестта на допуснатото нарушение, е правилен и обоснован. Касационните доводи на Комисията за защита на личните данни за неправилно отчитане от съда на целите на наложеното административно наказание са неоснователни.

Съдът е обсъдил действията и бездействията на администратора на лични данни на плоскостта на разпоредбата на чл. 45, ал. 1 ЗЗЛД и правилно е приел, че съхранението на информация за субекта на данни за период от приблизително 15 години далеч надхвърля необходимостта от съхранение на данните за целите, за които се обработват, както изисква разпоредбата на чл. 45, ал. 1, т. 5 ЗЗЛД. В Инструкция 8121з-748/20.10.2014 г. са уредени сроковете за съхраняване на лични данни на лицата във връзка с провеждане на наказателни производства по реда на НПК. В чл. 3, т. 1 - 8 от Инструкцията са предвидени хипотезите, при осъществяването на които съхраняваните лични данни на лицата се заличават. Съгласно чл. 3, т. 7 от Инструкцията освобождаването от наказателна отговорност и налагане на административно наказание е основание за заличаване на данните на извършителя на съответното престъпление. Правилно съдът е приел, че в случая администраторът на лични данни не е предприел необходимите мерки за заличаване на личните данни на субекта на данни, в нарушение на правилото по чл. 45, ал. 1, т. 5 ЗЗЛД.

Съдът подробно е обсъдил наложените корективни мерки по т. 4 и 5 от обжалваното решение на плоскостта на приложимата национална нормативна уредба и правото на Европейския съюз и е достигнал до правилно заключение за законосъобразност на решението на комисията в тази част. Съдът аргументирано е отхвърлил като неоснователни възраженията на администратора на лични данни, че задължението да заличи лични данни от информационните фондове възниква, ако субектът на данни е поискал това. Същевременно съдът правилно е приел за основателни доводите, че липсата на срок в Инструкция 81213-748/20.10.2014 г. за заличаване на лични данни при наличие на основание за това не означава, че органът е длъжен незабавно да извърши заличаването, в каквато насока е тълкуването на комисията. Администраторът на лични данни следва в разумен срок да изпълни задължението си, но безспорно бездействието в продължение на 15 години не попада в разбирането за разумен срок. С оглед продължителността на бездействието на администратора на лични данни съдът правилно е намерил наложената имуществена санкция в размер на 2000лв. за съответна на тежестта на административното нарушение.

Съдът подробно е обсъдил и правилно е отхвърлил като неоснователни възраженията на министъра на вътрешните работи за несъставомерност на проявеното бездействие, т.к. не е бил уведомен от съда или прокуратурата за влязлото в сила решение по чл. 78а НК. Правилно съдът е посочил, че администраторът налични данни по силата на релевантната нормативна уредба е длъжен да предприеме необходимите организационни и технически мерки при изпълнение на правомощията си да обработва личните данни на лицата за целите на противодействие на престъпността и защита на националната сигурност, в съответствие с изискванията на чл. 45, ал. 1 ЗЗЛД. Аналогични доводи са изложени и в касационната жалба на министъра на вътрешните работи, които касационната инстанция, споделяйки мотивите на първоинстанционния съд намира за неоснователни.

Не намират подкрепа в данните по делото доводите в касационната жалба на министъра на вътрешните работи за постановяване на съдебното решение при неправилно приложение на материалния закон и необоснованост във връзка с правната квалификация на наложеното административно наказание.

Неоснователно се поддържа в касационната жалба, че съдът не е обсъдил наложената за нарушение на чл. 53, ал. 3 вр. чл. 56, ал. 3 ЗЗЛД имуществената санкция на министъра на вътрешните работи по т. 2 от решението на КЗЛД дали е административно наказание и не е посочено кое от нарушенията, описани в букви а д в член 83, параграф 5 от Регламент (ЕС) 2016/679, е налице. Сочи, че чл. 85 ЗЗЛД не съдържа параграф 3, допускайки, че вероятно Комисията е имал предвид ал. 3, т.е. наложеното административно наказание е на несъществуващо правно основание. Такива са оплакванията и за липса на обсъждане от съда на т. 3 от диспозитива на решението на КЗЛД. Както се посочи по-горе, съдът подробно се е занимал с характера на имуществената санкция, правното положение на министъра на вътрешните работи в качеството му на орган на изпълнителната власт и администратор на лични данни, в резултат на което е достигнал до обосновано заключение за законосъобразност на т. 2, с изключение на размера на санкцията и на т. 3 от решението на КЗЛД. В чл. 85, ал. 6 ЗЗЛД е предвидено, че размерите на предвидените в ал. 1 5 административни наказания се определят съгласно посочените в член 83, параграф 2 от Регламент (ЕС) 2016/679 критерии и се налагат в тяхната левова равностойност. Нарушението е определено по своя фактически състав и правилно съдът е преценил, че за същото се следва санкция по чл. 85, ал. 3 ЗЗЛД във връзка с член 83, параграф 5 от Регламент (ЕС) 2016/679. Допуснатата очевидна фактическа грешка в диспозитива на решението на КЗЛД в изписването на параграф 3 вместо алинея 3 на чл. 85 ЗЗЛД не влияе на правилността на крайните изводи на съда и може да бъде поправена по предвидения ред в Административнопроцесуалния кодекс.

Предвид изложеното, касационните жалби на министъра на вътрешните работи и на Комисията за защита на личните данни са неоснователни, обжалваното решение е правилно и обосновано, поради което следва да се остави в сила.

С оглед изхода на спора не следва да се присъждат касационни разноски в полза на касационния жалбоподател - министъра на вътрешните работи. Комисията за защита на личните данни не е претендирала присъждане на разноски за касационната инстанция.

Водим от горното, Върховният административен съд, състав на пето отделение,