Решение № 198 от 9.1.2025 г. на ВАС по адм. д. № 8178/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по подадената касационна жалба от Н. Н. срещу решение 6264 от 23.05.2024 г. по адм. дело 11109/2023 г. на Административен съд София-град. В касационната жалба се излагат доводи за неправилност на съдебния акт и се иска да се отмени като се реши спора по същество и се уважи първоначалната жалба срещу решение ППН-01-794/2021 г. на Комисията за защита на личните данни. Ответникът по касационната жалба Комисията за защита на личните данни, чрез процесуалния си представител, представя писмено становище, в което поддържа, че обжалваното решение е правилно и следва да се остави в сила. Ответникът по касационната жалба Многопрофилна болница за активно лечение - Търговище АД не е изразил становище в касационното производство. Прокурорът от Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е основателна, по следните съображения: С обжалваното решение АС София-град е отхвърлил жалбата на Н. А. Н. срещу решение ППН-01-794/2021 от 04.09.2023 г. на Комисията за защита на личните данни, с което жалба рег. ППН-01-974 от 20.10.2021 г., подадена от Н. Н. срещу Многопрофилна болница за активно лечение Търговище АД, е обявена за неоснователна. По делото са установени следните фактически обстоятелства: Н. Н. е сезирал Комисията за защита на личните данни с жалба рег. ППН-01-974 от 20.10.2021 г. срещу Многопрофилна болница за активно лечение Търговище АД за това, че са обработвани негови лични данни като са въведени ЕГН и трите му имена и е търсена информация за него в информационните фондове, поддържани от лечебното заведение. Многопрофилна болница за активно лечение Търговище АД е посочила в становището си пред Комисията за защита на личните данни, че жалбоподателят не фигурира в болничната информационна система, обработвала е личните му данни по искане с писмо рег. 328600-53551/02.02.2021 г. на ГД Полиция и е отговорила за резултата от проверката. От събраните писмени доказателства по административната преписка е установено, че обработването на личните данни на жалбоподателя е във връзка с писмо на ГД Национална полиция, в което е цитирана прокурорска преписка 11/2021 г. на Специализираната прокуратура и е поискана проверка по трите имена, адрес и ЕГН на оспорващия за наличието на медицински данни за психичния му статус в МБАЛ Търговище. В писмо рег. 328600-53551/02.02.2021 г. от заместник директора на ГД Национална полиция е посочено, че в ГД Национална полиция, отдел Икономическа полиция се извършва проверка по преписка рег. 328600-2311/2021 г. по описа на ГДНП, пр. пр. 11/2021 г. по описа на СпПр и в изпълнение на указанията на наблюдаващия прокурор е необходимо да се предостави информация води ли се на отчет в ЦПЗ към МБАЛ Търговище лицето Н. А. Н., с посочени адрес, ЕГН и дата и място на раждане, и с каква диагноза, като се изпрати копие от медицинската документация, с която се разполага. С писмо изх. 11-02-2015 г. от 08.02.2021 г. изпълнителният директор на МБАЛ Търговище е отговорил, че лицето Н. Н., с посочен ЕГН не е лекувано в психиатрично отделение към лечебното заведение. Съгласно писмо адм. 712/2021 г. от 21.06.2021 г. на и.ф. административен ръководител на Специализираната прокуратура, прокурорска преписка 11/2021 г. по описа на СпПр е образувана по повод постъпил сигнал от Н. Н. с твърдения за евентуално извършени закононарушения от страна на магистрати. На основание чл. 145, ал. 1, т. 3 от Закона за съдебната власт наблюдаващият прокурор е възложил с постановление от 14.01.2021 г. извършването на проверка на служители от ГД Национална полиция, т. к. от съдържанието на материалите не може да се направи извод за достатъчност на данните по смисъла на чл. 211, ал. 1 НПК. Поради това, че не са събрани съставомерни данни в хода на проверката, по сигнала е постановен отказ за образуване на досъдебно производство. Комисията за защита на личните данни е приела, че МБАЛ Търговище, която е лечебно заведение по смисъла на чл. 9, ал. 1, т. 1 и ал. 3 вр. чл. 4, ал. 1 и чл. 2 от Закона за лечебните заведения, обработва лични данни на субектите на данни във връзка с упражняваната дейност. Именно с оглед на тази дейност е изискана информация и медицинска документация от ГД Национална полиция. Комисията е приела, че ответната страна е обработвала данните на жалбоподателя законосъобразно и в изпълнение на задължението си, произтичащо от разпоредбите на чл. 145, ал. 3 вр. ал. 1, т. 3 ЗСВ и чл. 4 ЗМВР, е извършила проверка по имена и ЕГН в болничната информационна система. В заключение Комисията за защита наличните данни е приела, че обработката на данните е извършена съобразно принципа на законосъобразността по член 5, параграф 1, буква а от Регламент (ЕС) 2016/679 и при тези съображения е оставила жалбата без уважение. Съдът подробно е описал събраните по преписката данни, развитието на административното производство и становищата на участниците и е приел, че обжалваното решение е издадено от компетентен орган, при спазване на административнопроизводствените правила. Приел е, че решението е издадено в предписаната от закона форма и съдържа фактически и правни основания за постановяването му. При решаване на въпроса за материалната законосъобразност на акта съдът е потвърдил изводите на административния орган. Посочил е, че МБАЛ Търговище е администратор на лични данни, като това качество й се следва от цитираните по-горе разпоредби на Закона за лечебните заведения, съответно дейностите по обработка на данните на пациентите се считат за естествено придадени към функционалната роля на лечебното заведение. На тази плоскост съдът е приел, че извършването на проверка в болничната информационна система и картотеката на лечебното заведение съставляват действия по обработване на лични данни по смисъла на член 4, параграф 1 и 2 от Регламент (ЕС) 2016/679 във връзка с § 1, т. 1 и 4 ДР на ЗЗЛД. Обработването на данни е законосъобразно на основание член 6, параграф 1, буква в от Регламент (ЕС) 2016/679, т. к. е извършено при спазване на законовото задължение на администратора по чл. 145, ал. 3, вр. ал. 1, т. 3 ЗСВ и чл. 4 ЗМВР. При тези съображения е постановил обжалвания резултат. Решението е неправилно. Съдът неправилно е приел, че обжалваното решение е издадено при спазване на изискванията за мотивираност и при правилно приложение на материалноправните разпоредби. Правилно съдът е приел, че ответната страна МБАЛ Търговище в качеството ѝ на лечебно заведение е администратор на лични данни. Като администратор на лични данни същата е длъжна да обработва личните данни на субектите на данни при спазване на изискванията за законност и пропорционалност. Основният спорен въпрос по делото е относно правомерното обработване на лични данни на жалбоподателя, свързани със здравния му статус от лечебното заведение, по искане на органите на МВР. В този контекст обсъждането на общите принципи по член 5 и член 6 от Регламент (ЕС) 2016/679 е коректно, но не е достатъчно да преодолее липсата на мотиви по релевантния въпрос. Обработването на лични данни, свързани с медицинското състояние на субекта на данни е регламентирано в член 9 от Регламент (ЕС) 2016/679, по чието приложение Комисията за защита на лични данни и съответно първоинстанционният съд, не са изложили съображения нито в положителен нито в отрицателен аспект. Както в жалбата си до административния орган, така и в жалбата до съда и касационната жалба, оспорващият поддържа, че лечебното заведение неправомерно е обработвало негови лични данни за здравословното му състояние във връзка с искане от органите на МВР. Данните за здравословното състояние се явяват специална категория лични данни по член 9 от Общия регламент и изискват засилена защита на правата и свободите на съответните субекти на данни. Разпоредбата на член 9, параграф 2 от Регламент (ЕС 2016/679 допуска законосъобразна обработка на подобни специални категории лични данни при определени условия, визирани в букви "а" до "й" от същия текст. От оскъдните фактически обстоятелства, установени по делото, е видно, че информацията е поискана от органите на МВР в хода на проверка по преписка, образувана по сигнал на жалбоподателя. Личните данни на оспорващия трите имена и ЕГН са предоставени от органите на МВР, за да се индивидуализира носителят на данни и се предостави от администратора на данни информация за медицинското му състояние. Разпоредбата на чл. 145, ал. 3 ЗСВ, на която се позовава съдът, за да кредитира изводите на административния орган, предвижда, че разпорежданията на прокурора, издадени в съответствие с неговата компетентност и закона, са задължителни за държавните органи, длъжностните лица, юридическите лица и гражданите. По делото обаче липсват каквито и да било актове на прокуратурата по визираната преписка, от които да са направи заключение, че обработването на процесните лични данни и предоставянето на информация за здравния статус на подателя на сигнала, са изискани по разпореждане на прокурора, възложил проверката по чл. 145, ал. 1, т. 3 ЗСВ. Разпоредбата на чл. 4 ЗМВР, която се визира в решението на Комисията за защита на личните данни, урежда общото задължение на държавните органи, организациите, юридическите лица и гражданите да оказват съдействие и да спазват разпорежданията на органите на МВР, издадени при или по повод осъществяване на определените им със закон функции. Това не освобождава администратора на данни от необходимостта във всеки конкретен случай да извърши преценка изпълнени ли са условията за допустимо обработване на личните данни на субекта на данни. Освен член 9 от Регламент (ЕС) 2016/679, в чл. 27, ал. 1 от Закона за здравето също е дефинирано, че здравна информация са личните данни, свързани със здравословното състояние, физическото и психическото развитие на лицата, както и всяка друга информация, съдържаща се в медицинските рецепти, предписания, протоколи, удостоверения и в друга медицинска документация. Предоставянето ѝ е уредено в чл. 28, ал. 1 3 ЗЗ. В тази връзка съдът не е отчел, че в решението на административния орган изобщо не са обсъдени представените по делото Вътрешни правила за сигурност, задължителни за служителите, оторизирани с достъп до регистри с лични данни и Правилник относно отговорностите на лицата, които участват в съставянето и поддържането на пациентското досие, съответно разпоредбите на специалните закони, въз основа на които са приети - Закон за здравето и Закон за лечебните заведения и приложимата подзаконова нормативна уредба. Съдът изобщо не е коментирал липсата на мотиви в решението на Комисията за защита на лични данни относно приложението на разпоредбите на Глава осма от Закона за защита на личните данни и дали обработването им от администратора на лични данни е подчинено на този режим. Без да са изяснени относимите за спора фактически обстоятелства и при отсъствие на мотиви в решението на КЗЛД относно приложението на релевантните правни разпоредби, съдът неправилно е приел, че решението е прието при спазване на изискванията за форма и съдържание и на административнопроизводствените правила. При тези пороци на акта по чл. 146, т. 2 и 3 АПК, изведеният от съда извод за материална законосъобразност на акта е неправилен и необоснован. Предвид изложеното, обжалваното решение следва да се отмени и вместо него да се реши спорът по същество като се отмени обжалваното решение на Комисията за защита наличните данни и преписката се върне за ново разглеждане при съобразяване с указанията, дадени в мотивите на настоящото решение. Водим от горното, Върховният административен съд, състав на пето отделение,