Решение № 1735 от 10.02.2021 г. на ВАС по адм. д. № 11612/2020 г.

Решение № 1735 от 10.02.2021 г. на ВАС по адм. д. № 11612/2020 г., V о., докладчик председателят Галина Карагьозова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от "А1 България" ЕАД, чрез процесуалния й представител Д. Ризов, служител с юридическо образование, срещу решение № 4600 от 13.08.2020 г., постановено по адм. дело № 4396/2020 г. от Административен съд София-град (АССГ), Второ отделение, 41 състав, с което е отхвърлена жалбата на дружеството срещу т. 1 и т. 3 от решение № ППН-01-319/19.11.2019 г. на Комисията за защита на личните данни (КЗЛД). В касационната жалба са развити доводи за неправилност на оспореното първоинстанционно решение поради необоснованост на изводите на съда, допуснато съществено нарушение на съдопроизводствените правила и нарушение на материалния закон – касационно основание по чл. 209, т. 3 АПК. Иска се отмяна на решението като неправилно, претендира се присъждане на направените по делото разноски. Ответникът по касационната жалба – Комисия за защита на личните данни, чрез процесуалния си представител юрисконсулт К. Първанова, в писмено становище оспорва същата като неоснователна и моли да бъде отхвърлена, а оспореното съдебно решение да бъде оставено в сила. Алтернативно, в случай на уважаване на касационната жалба прави възражение за прекомерност на разноските за адвокатско възнаграждение, ако са претендирани такива. Претендира разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба – Е. Стоилков не изразява становище. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд (ВАС), тричленен състав на пето отделение, след като прецени данните по делото и становищата на страните и след извършена служебна проверка по реда на чл. 218, ал. 2 от АПК приема за установено следното: Касационната жалба е подадена от активно легитимирана страна, в срока по чл. 211, ал. 1 АПК, против подлежащ на оспорване съдебен акт, който е неблагоприятен за нея, поради което е процесуално допустима. Разгледана по същество е неоснователна, по следните съображения: С обжалваното решение АССГ е отхвърлил оспорването по жалбата на "А1 България" ЕАД срещу т. 1 и т. 3 от решение № ППН-01-319/19.11.2019 г. на КЗЛД, с което на основание чл. 83, параграф 5, б. "а", във връзка с чл. 58, параграф 2, б. "и" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и свободното движение на такива данни (Регламента) е обявена жалбата на Е. Стоилков за основателна по отношение "А1 България" ЕАД в качеството му на администратор на лични данни и му е наложено административно наказание - имуществена санкция в размер на 2000 (две хиляди) лева за обработване на личните данни на Стоилков в нарушение на чл. 4, ал. 1 от Закона за защита на личните данни (ЗЗЛД), в приложимата редакция, както и в нарушение на чл. 6, параграф 1 от Регламента. Съдът е събрал и обсъдил релевантните за спора доказателства както от административната преписка, така и е назначил и изслушал и съдебно-почеркова експертиза и правилно е установил фактите по делото. Приетите за установени факти не са предмет на спор понастоящем. Въз основа на установеното, съдът с мотивирани съображения е приел, че решението на КЗЛД е законосъобразен административен акт – постановен от компетентен орган в изпълнение на негови законови правомощия, в предвидената писмена форма, без извършени съществени нарушения на административно производствените правила, при спазване на материалноправните разпоредби. Първоинстанционният съд е приел, че правилно КЗЛД е счела, че е налице неправомерно обработване – в хипотезата на събиране, употреба и съхранение, на личните данни на Е. Стоилков, тъй като същият не е сключил договор за предоставяне на електронни услуги, чрез посредника на "А1 България" ЕАД - "Неб къмпани" ЕООД - абонамент за домашен телефон, в пакет с други услуги, за което са издавани и заплатени фактури. Приемайки, че е налице извършено продължавано нарушение и същото правилно е квалифицирано като такова по чл. 4, ал. от ЗЗЛД, в приложимата редакция към момента на сключване на договора - събиране на личните данни, така и по чл. 6, § 1 от Регламента, във връзка с чл. 4, ал. 1 ЗЗЛД, съдът е посочил, че законосъобразно КЗЛД е наложила на основание на Регламента административно наказание. Законосъобразно и обосновано е определен вида и размера на имуществената санкция, който е съобразен с тежестта на нарушението и с целта на закона. Така постановеното съдебно решение на АССГ е валидно, допустимо и правилно. Правилно първоинстанционният съд се е позовал на установената в административното производство и описана в оспореното решение на КЗЛД фактическа обстановка, която в хода на съдебното дирене пред първата инстанция е потвърдена, в това число и от назначената съдебно-почеркова експертиза. Дружеството-жалбоподател не е представило доказателства, които да оборят фактическите установявания в рамките на административното производство. Безспорно е установено, че Стоилков е сезирал КЗЛД за това, че личните му данни са били неправомерно обработени от "А1 България" ЕАД, тъй като чрез посредника "Неб къмпани" ЕООД е регистриран на негово име договор, в изпълнение на който е заплащал ползване на домашен телефон и други услуги, без да знае затова. Договорът е от 29.12.2017 г., като на Стоилков, който е абонат да оператора, са издавани и същият е заплащал услугите по 8 броя фактури. В договора фигурират името, ЕГН и адрес на абоната. Договорът е прекратен на 21.03.2019 г., след възражение от абоната, че не е подписан от него, а сумите, заплатени по фактурите, са прехвърлени като отстъпка по друга негова партида. Посоченото е прието от административния орган за нарушение на ЗЗЛД и Регламента, изразяващо се в действия по събиране, употреба и съхранение на личните данни на Стоилков, без неговото съгласие за обработване, съответно при липса на основанията по чл. 4, ал. 1 от ЗЗЛД за допустимост на обработването, като тези изводи са споделени и от решаващия съд. Правилен и законосъобразен е изводът на съда, че обработването на личните данни на Стоилков е неправомерно. Касаторът е администратор на лични данни и доколкото е доказано от фактическа страна действие по обработване на лични данни (съобразно легалната дефиниция за "обработване", дадена в параграф 1, т. 1 от Допълнителните разпоредби на ЗЗЛД) за целите и със средствата, определени от дружеството в качеството му на "администратор" на лични данни, за което е установено, че е извършено при липса на основанията по чл. 4, ал. 1 ЗЗЛД, същото правилно е прието за нарушение, съответно е санкционирано. Неоснователно е възражението в касационната жалба, че съдът не е обсъдил всички възражения на жалбоподателя, понастоящем касатор, с което е допуснал съществено нарушение на съдопроизводствените правила. Съдът е обсъдил възражението, че обработването е в резултат на предоставени от посредника договори, сключени от него, което е нормална търговска дейност на дружеството, при прилагане на всички мерки за събиране и обработване на лични данни. Съдът, подробно е коментирал сключения с посредника договор и обосновано с оглед неговото съдържание е приел, че независимо от обстоятелството, че проверката на самоличността на абоната, на документа му за самоличност на съответствието на лика на същия със снимката в документа за самоличност не са извършени от дружеството-жалбоподател, нито от негов служител, то е започнало да изпълнява сключения от комисионера договор, без да извърши дължимата проверка дали са спазени процедурите за сключването на договора и за проверка и предаване на документи които са отговорност на комисионера и са изрично регламентирани. В предадената от комисионера бланка на договора не се съдържат данни, които са задължителни съгласно описаните и приети от самото дружество процедури, което не е установено от настоящия касатор и вместо да не признае сделката, същият е започнал да изпълнява договора. Не е установил също така, че услугата, предмет на договора не е ползвана, но са начислявани суми. Решаващият съд е обсъдил и възражението, относно обема на дължимата грижа от страна на "А1 България" ЕАД относно обработката на личните данни. В жалбата до съда, настоящият касатор е поддържал, че не носи отговорност, тъй като е взел всички технически и организационни мерки за защита, по смисъла на чл. 23 от ЗЗЛД, като вероятното подправяне на подписа на Стоилов не може да им бъде вменено във вина, доколкото осъществява и състав на престъпление. Съдът изрично е посочил в решението си, че когато договорът е подписан от друго лица в графа "за абоната" и комисионера не е установил това, същото съставлява самостоятелно нарушение, за което отговаря комисионера, но същевременно "А1 България" ЕАД е следвало да упражни описания контрол върху представения договор. Следователно, съдът е обсъдил и разграничил отговорността на администраторите на лични данни, като независимо от обстоятелството, че някое от действията по обработката на личните данни може да осъществява и състав на престъпление е разграничил административно-наказателната отговорност, която има различен характер. Двата вида отговорност - административно-наказателна и наказателна могат да бъдат осъществени самостоятелно и независимо една от друга. Обсъдени са и възраженията относно неизясняването на всички факти в рамките на административното производство, в това число и за липсата на назначена почеркова експертиза. Съдът освен че е обсъдил възражението, което е приел за несъществено, тъй като от административния орган са събрани други допустими доказателства е дал възможност за осъществяване пълноценно на правото на защита на жалбоподателя като сам е назначил съдебно-почеркова експертиза. Всички възражения са обсъдени и обосновано с оглед събраните доказателства и нормативната регламентация са отхвърлени. Що се касае до релевираното в касационната жалба възражение, че КЗЛД е следвало да спре административното производство на основание чл. 54, ал. 1, т. 3 от АПК, тъй като в хода му са разкрити данни за престъпление, чието установяване е от значение за издаването на акта, което съставлява нарушение на административно-производствените правила, такова възражение не е повдигнато в производството пред АССГ, именно поради което по възражението не е налице произнасяне. Недопустимо е обсъждането му в рамките на касационното производство. Неоснователно е и възражението в касационната жалба, че първоинстанционният съд неправилно е приложил материалния закон. На първо място възражението се свързва с твърдение за неприложимост на Регламента при определяне и налагане на процесната имуществена санкция. Същото не се споделя, по следните съображения.: Регламентът, чиито разпоредби са приети за нарушени с решението на КЗЛД, е действащо право в Република България, както и в останалите държави членки на ЕС, считано от 25.05.2018 г., съгласно чл. 99, т. 2 от същия. Липсва норма за придаване на обратно действие на материалноправните му норми, т. е. същият е приложим спрямо онези юридически факти, визирани в неговите норми, които са настъпили след влизането му в сила или продължават своето проявление в действителността и след влизането му в сила. Такъв е настоящият случай, в който е установено, че нарушението е продължило до 21.03.2019 г., т. е. далеч след влизането на Регламента в сила, като едва след тази дата процесният "договор" е прекратен, съответно сумите, заплатени по издадените въз основа на същия фактури са прехвърлени по друга партида на засегнатото лице. Следователно именно до този момент личните данни са обработвани неправомерно, чрез съхранение и употреба, както правилно са приели и административния орган и първоинстанционния съд и нормите на Регламента са приложими както към момента на влизането му в сила, така и към момента на произнасяне на КЗЛД. Изпълнителното деяние, довело до неправомерно обработване на личните данни на Стоилков е започнало на 29.12.2017 г., когато защитата на правата на физическите лица при обработване на личните им данни е регламентирано от ЗЗЛД, но е продължило и след датата 25.05.2018 г., поради което правилно административният орган и решаващият съд са съобразили и приложили действащите към момента на извършване на нарушението материалноправни разпоредби, като същото е квалифицирано като такова и по ЗЗЛД, в приложимата редакция, и по Регламента. В този смисъл правилна е и преценката на административния орган и съда и по отношение правното основание за налагане на съответното административно наказание. Съобразно приложимото към случая право, в обстоятелствената част на решението на КЗЛД са изложени подробни съображения във връзка с определената по вид и размер конкретна санкционна мярка – имуществена санкция. Административният акт, като издаден при условията на оперативна самостоятелност, съдържа конкретни и ясни мотиви за направения избор на най-ефективна, целесъобразна и съобразена с принципа на пропорционалност корективна мярка. Обоснован е размерът на имуществената санкция - 2000 лева, при определянето на която са взети предвид изяснените по случая релевантни обстоятелства с утежняващ характер - наличие на предходно наложени на администратора санкции за сходни нарушения, както и тези със смекчаващ характер - предприети действия по прекратяване на нарушението и то преди сезиране на КЗЛД с жалба. По тези съображения, като е приел, че решението на КЗЛД и в санкционната му част е постановено в съответствие със закона и е отхвърлил жалбата на "А1 България" ЕАД срещу решение № ППН-01-186/10.01.2018 г. на КЗЛД и в частта му по т. 3, административният съд е постановил законосъобразен съдебен акт, при правилно тълкуване и прилагане на материалноправните разпоредби. Неоснователно е и възражението, относно правомощието на КЗЛД да налага санкции на основанията по Регламента. КЗЛД е независим държавен орган, специализиран в защитата на лицата при обработка на личните им данни, като има правомощия за осъществяване на цялостен контрол за спазване на изискванията на ЗЗЛД (чл. 6, ал. 1 ЗЗЛД). Както до влизането в сила на Регламента, така и след тази дата, КЗЛД е и продължава да бъде специализираният държавен орган, на когото са възложени сочените функции. С влизане в сила на нормите на Регламента, същите стават основният източник на правна регламентация в сферата на защита правата на лицата при обработването на техните лични данни и достъпа до тези данни в рамките на Европейския съюз. Регламентът е акт с общо приложение и е задължителен в своята цялост, като за пораждане на правното му действие не е необходимо транспонирането му във вътрешното право посредством приемането на изричен акт или мярка. Следователно, от деня на влизането си в сила Регламентът е станал действащо право в Република България и неговите разпоредби уреждат пряко и непосредствено съответните обществени отношения. С оглед на това, независимо дали към този момент националният законодател е предприел някакви промени, свързани с уредбата в Регламента, последният проявява своето правно действие от деня на влизането си в сила и от този момент следва задължително да бъде съобразяван от административните органи и от съда при разрешаването на съответните спорове, съответно компетентността на националния орган по защита на личните данни да упражнява контрол във връзка с изпълнението на Регламента произтича пряко от неговите разпоредби и възниква в момента на влизането му в сила, като за това не е необходимо изричното й възлагане с национален нормативен акт. В случая, фактът, че националният закон, съдържащ изрично прогласяване на компетентността на КЗЛД по осъществяване на цялостен надзор върху спазването на Регламент (ЕС) 2016/679, е влязъл в сила няколко месеца след влизането в сила на самия Регламент, не е от естество да обуслови липсата на компетентност за КЗЛД да се произнася по жалби срещу актове и действия на администраторите на лични данни, довели да нарушение на Регламента. В противен случай, бихме били изправени пред ситуация на невъзможност за защита правата на засегнатите от неправомерно обработване на личните им данни лица, в случаите, когато нарушението е извършено (изцяло или в условията на продължавано нарушение) след датата 25.05.2018 г., а КЗЛД се е произнесла с краен акт по жалбата преди влизане в сила на новата редакция на ЗЗЛД (бр. 17 от 26.02.2019 г.), за която касаторът твърди, че има правопораждащ ефект по отношение на компетентността на КЗЛД да налага санкции на основания на Регламента. Подобна празнота в правната регламентация би била несъвместима с гарантираното в самия Регламент право на всеки субект на ефективни средства за правна защита срещу обработване на лични данни, отнасящи се до него, с които се нарушават разпоредби от този Регламент. В този смисъл решението по адм. дело № 12170/2019 г. на ВАС, пето отделение. По изложените съображения е неоснователно и възражението относно неспазването на целта на закона. Избраната мярка е подходяща и съответна на предвидения с нейното налагане санкционен, дисциплиниращ и предупредителен ефект, със същата не се надхвърля необходимото за постигането на тези цели, т. е. постига се целта на закона за осигуряване на ефективна защита при обработка и съхранение на личните данни, а не се нарушава същата. Касационната жалба е неоснователна, не са налице сочените отменителни основания по чл. 209, т. 3 от АПК, съответно съдебното решение като правилно следва да бъде оставено в сила. С оглед изхода на спора е основателна претенцията за присъждане на разноски в полза на ответника по касация, които следва да бъдат определени на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ в размер на 100 лева. По изложените съображения и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, пето отделение,