Решение № 12844 от 15.12.2021 г. на ВАС по адм. д. № 7392/2021 г.

Производството е по чл. 208 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба от Комисията за защита на личните данни, гр. София, бул. Цветан Лазаров 2, срещу Решение 1128 от 23.02.2021 г. на Административен съд - София-град (АССГ) по административно дело 3089/2020 г. С обжалваното решение е отменено Решение ППН-01-110/19.11.2019 г. на Комисията за защита на личните данни (КЗЛД или комисията), с което е призната за основателна жалба ППН-01-110/30.01.2019 г. по отношение на Първа инвестиционна банка (ПИБ) АД и на основание чл. 83, §5,буква а във вр. чл.58, §2, буква и от Регламент ЕС 2016/679 на Европейския парламент и Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента) на ПИБ е наложена имуществена санкция в размер от 2000лв за обработване на лични данни в нарушение на чл. 6, § 1 от Регламента. Касационният жалбоподател счита обжалваното решение за неправилно, постановено при съществени нарушения на съдопроизводствените правила, в нарушение на материалния закон и необоснованост отменителни основания по чл. 219, т. 3 АПК. Касаторът счита за неправилен изводът на съда, че засегнато лице е дало съгласие личните му данни да бъдат предоставяне на трети лица с цел събиране на вземания. Подробно анализира събраните по делото доказателства и сочи, че в представените по делото Общи условия на ПИБ не фигурира клауза, която да установява съгласие на лицето за обработване на личните му данни с такава цел. Сочи още, че съдът неправилно е тълкувал и приложил чл. 6, § 1, б.е от Регламента като изтъква, че нормата допуска накърняването на интересите на едно физически лице за сметка на други по-висши интереси, но само след оценка баланса на тези интереси, които следва да са съпоставими и от един порядък. Счита, че имуществените права (интереси) на цесионара не са съпоставими с основаната право на личен живот по смисъла на чл. 8, § 1 от Конвенцията за защита на правата на човека и основните свободи. Счита, че елемент от неприкосновеността на личността са и личните данни, поради което е недопустимо обработването им без изрично съгласие. Иска от съда, решението да бъде отменено, а по същество жалбата на ПИБ срещу административния акт отхвърлена като неоснователна. Претендира присъждане в него полза на разноски за две инстанции, включително възнаграждение юрисконсулт. Ответникът ПИБ се представлява от юрисконсулт Стефанова. В писмен отговор намира касационната жалба за неоснователна. Счита за правилни и обосновани изводите на първоинстанционния съд, че оспорваното решение на КЗЛД е незаконосъобразно. Обосновава, че АССГ е установил точно и пълно фактите и е приложил правилно материалния закон към тях. Иска от съда обжалваното съдебно решение да бъде оставено в сила, както и в полза на ответника да бъдат присъдени сторените в производството разноски. Ответниците Д. Колева и Дебитум Инвест АДСИЦ, редовно призовани, не се представляват и не ангажират становище по жалбата. Представителят на Върховната административна прокуратура дава подробно заключение за основателност на касационната жалба. Върховният административен съд, след като обсъди твърденията и доводите на касатора и възраженията на ответника, и провери обжалваното съдебно решение с оглед на правомощията си по чл. 218, ал. 2 АПК, намира за установено от фактическа и правна страна следното: Касационната жалба е допустима подадена е в срока по чл. 211 АПК от надлежна страна, срещу подлежащ на обжалване съдебен акт. Разгледана по същество, жалбата е основателна. Установено е по делото, че Д. Колева е била в договорни отношения с ПИБ по договор от 04.12.2007 г. за издаване на револвираща международна кредитна карта с чип и предоставяне на овърдрафт по разплащателна сметка. ПИБ с договор за цесия от 27.11.2018 г. е прехвърлила вземането си срещу Д. Колева в полза на Дебитум Инвест АДСИЦ, след което е уведомила Колева за цесията с писмо от 02.01.2019 г. Съгласно чл.11 от договора между Д. Колева и ПИБ от 04.12.2007 г. с подписването на договора, титулярят декларира, че са му предоставени и е запознат с Общите условия за издаване и ползване на револвиращи международни кредитни карти с чип и Тарифата за таксите и комисионите на Банката. Съгласно в раздел XIX Допълнителни условия, чл.41 от Общите условия на ПИБ за издаване и ползване на револвиращи международни кредитни карти с чип Банката по своя преценка има право по всяко време да прехвърли вземанията си срещу титуляря на трето лице. В този случай титулярят има право да направи срещу третото лице всички възражения, които е имал срещу Банката. В Общите условия на ПИБ в раздел XVIII Достъп до данни в четири точки подробно са описани конкретни хипотези на обработване на лични данни, за които титуляря дава безусловно и неотменимо съгласие на Банката да обработва личните му данни за посочените цели. Не е описана хипотеза за обработване на лични данни чрез предоставянето им на трети лица с цел събиране на вземания. На 19.11.2019 г. КЗЛД постановява оспорваното Решение ППН-01-110/2019 г., с което се признава за основателна жалба ППН-01-110/30.01.2019 г. по отношение на ПИБ и на основание чл. 83, §5,буква а във вр. чл.58, §2, буква и от Регламент ЕС 2016/679 от Регламента на ПИБ е наложена имуществена санкция в размер от 2000лв за обработване на лични данни в нарушение на чл. 6, § 1 от Регламента. На 06.01.2020 г. ПИБ оспорва решението на КЗЛД с жалба до Административен съд София-град. На 23.02.2021 г. АССГ постановява обжалваното съдебно решение като приема, че оспорваният административен акт е издаден от компетентен орган, в предвидената от закона форма и съдържание, при липса на съществени нарушения на административнопроизводствените правила. Съдът излага мотиви, че решението на КЗЛД е постановено при неправилно приложение на материалния закон и несъобразяване с целта му. Съдът се позовава на легалната дефиниция за обработване на лични данни съгласно чл. 4, § 2 от Регламента като приема, че при установените факти е налице обработване на лични данни. Анализира разпоредбата на чл.6, § 1, б от а до е от Регламента и всяко едно от посочените изрично и алтернативно основания за обработване на данните. Съдът стига до различен от комисията извода, а именно че е налице основанието по чл. 6, § 1 б е от Регламента обработването да е необходимо за целите на легитимните интереси на администратора или на трета страна, които да са приоритетни спрямо интересите на субекта на личните данни. След анализ на вида, характера, правните и икономически последици на договора за цесия стига до извод, че законодателят признава за легитимен интереса на кредитора, който е приоритетен над интереса на длъжника, поради което е достатъчно длъжника да бъде уведомен само за смяната на кредитора и от там извежда, че правото на собственост в широк смисъл ( включващо права, които имат парично изражение) са равнопоставени с правото на защита на личните данни на длъжника и последното следва да бъде ограничено пропорционално на легитимната цел удовлетворяване на имуществените интереси на кредитора. Първоинстанционният съд заключава, че е налице основанието по чл. 6, § 1, б а и е от Регламента и ПИБ законосъобразно е обработвала личните данни на Д. Колева. С тези мотиви първоинстанционният съд е уважил подадената от ПИБ жалба и е отменил решението на КЗЛД като незаконосъобразно. Решението е валидно, допустимо, но неправилно. Правилно първоинстанционният съд е приел, че оспореният административен акт е издаден от компетентен орган, в предвидената от закона писмена форма, с посочване на правните и фактическите основания за издаването му, и при спазване на административнопроизводствените правила. Правилен е и изводът му, че в случая е налице хипотеза на обработване на лични данни съгласно легалната дефиниция за обработване, дадена в чл. 4, § 2 от Регламента. Страните нямат спор по фактите, които са установени правилно и пълно, както от съда, така и от административния орган в производството пред него. Спорен е въпросът относно наличието на основание за законосъобразно обработване на личните данни на Д. Колева от страна на ПИБ чрез предаването им на трето лице. Правилна е изходната позиция в анализа на първоинстанционният съд, че правото на защита на личните данни не е абсолютно право, трябва да бъде разглеждано във връзка с функцията му в общественото и да бъде в равновесие с други основни права съгласно принципа за пропорционалност. Същата съответства на съображение 4 от Регламента. Следва да се съобрази и основният принцип при обработване на личните данни принципа на прозрачност и информираност, който многократно е посочен в Регламента и определя, както основни задължения на администраторите на лични данни, така и правата на субекта на лични данни. Информираността е основен инструмент за осигуряване на добросъвестността при обработването на данни и за откритост в отношенията между администратор и субект на данните. Например в чл. 13 от Регламента се определя, че информацията, която администраторът дължи на субекта на данните в случаите, в които личните данни се събират от самия него. Той дължи тази информация в момента на получаване на данните, а не когато субектът го сезира с нарочно искане за информация. Следва да се отбележи, че администраторът дължи и информация относно по-нататъшно обработване на личните данни за цели, различни от първоначалната цел, за която данните са били събирани. Това задължение на администратора следва да се изпълни преди да започне по-нататъшното обработване на данните. Съответно субектът на данните има право да узнае за каква друга допълнителна цел администратора планира да бъдат обработвани данните, както и да получи всякаква относима информация за това обработване. В случая изводът на първоинстнционния съд, че субекът на данните - Д. Колева е била информирана и е дала съгласие за обрадване на личните й данни чрез предоставянето им на трето лице в хипотезата на договор за цесия между ПИБ и друго дружество с подписването на договора между Д. Колева и ПИБ за револвираща международна кредитна карта с чип и предоставяне на овърдрафт не съответства на горепосочения принцип и доказателствата по делото. Действително в посочения договор има клауза, съгласно която с подписването му Д. Колева е уведомена за Общите условия на ПИБ, действащи във връзка с международните кредитни карти, а в Общите условия има разпоредби, които се отнасят до безусловно и неотменимо съгласие на лицето за обработване на личните данни от банката. На обработването на лични данни и съгласието на титуляря им е посветена изрична част в Общите условия - в раздел XVIII Достъп до данни. Извън изрично посочените в този раздел цели, за които субектът на данните е дал предварително съгласие на ПИБ да обработва данните му, банката няма право да обработва данните за други цели без да вземе изричното съгласие на лицето. Безспорно в посочения в раздел XVIII Достъп до данни от Общите условия липсва описана цел и/или хипотеза която да може да бъде свързана с обработването на лични данни чрез предоставянето им трето лице във връзка с договора за цесия. Съгласието не може да бъде тълкувано разширително и във връзка с чл. 41 от Общите условия, с който е предоставено право на ПИБ по своя преценка да прехвърли вземаната си срещу титуляря на международна кредитна карта с чип върху трето лице, както е направил първоинстанционният съд. Такова разширително тълкуване не съответства нито на систематичното тълкуване на самите Общи условия на ПИБ, нито на принципите и целта на Регламента. Доколкото чл. 41 е поместен в различен раздел от Общите условия на банката от този регламентиращ достъпа до данни, то връзката между тях не е пряка и общото им разширително тълкуване не може да бъде извършено. Същото е невъзможно, както поради каузалният характер, с който се отличава раздел Достъп до данни от Общите условия, така и поради принципа да прозрачност и информираност, гарантиран със съответни права на субекта на данните и задължения на администратора на данни. Правото на субекта на данните на информация включва получаването на предварителна информация за всяка различна от първоначалната цел за обработване на данните. Първоначалната цел в случая е обработване на данните във връзка с изпълнението на договор за издаване на международна кредитна карта с цип. Тази цел не включва обработване чрез прехвърляне на данните върху трето лице. Такава цел не е заявена нито в договора за издаване на международна кредитна карта с цип, нито в Общите условия на ПИБ. Налага се извод, че преди подписване на договора за цесия между ПИБ и Дебитум инвест АДСИЦ, банката е следвало да информира и съответно вземе съгласие от Д. Колева за по-нататъшно обработване на личните й данни с тази нова цел. По делото няма, нито твърдения, нито доказателства за такова информиране и съответно съгласие. Следователно обратния извод на първоинстанционният съд, че е налице основанието за законосъобразно обработване на данните по чл. 6, § 1, б а от Регламента не съответства на доказателства по делото и закона. Същият извод се налага и относно основанието за законосъобразно обработване на данните по чл. 6, § 1, б е от Регламента обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи. За да заключи, че основанието е налице и обработването е законосъобразно съдът е съпоставил правата на субекта на данните с правата на ПИБ като кредитор и съответно правата на трето лице получило достъп до данните - Дебитум инвест АДСИЦ. Правилно в тази връзка съдът е започнал анализа си от видът и характера на правата, които са в колизия за да обоснове, че легитимните интереси на администратора и трето лице имат превес над правото на защита на личните данни на субекта на данните. Неправилно съдът обаче е преценил изходните данни в конкретния случай. Договорът за цесия между ПИБ и Дебитум инвест АДСИЦ е облигационен договор, сключен между равнопоставени субекти, който засяга имуществената сфера на задължено към банката лице, чието вземане се прехвърля. Безспорно банката е имала право да сключи такъв договор (чл. 41 от Общите условия), но това право е непротивопоставимо на задължението на администратора на лични данни да ги обработва добросъвестно и законосъобразно. В случая, както беше посочено по-горе администратора на лични данни не е информирал субекта на данните, чието вземане се прехвърля, че едновременно с прехвърлянето на вземането, ще бъдат прехвърлени и личните му данни и съответно не е получил съгласие за това. Неправилен е и изводът на съда, че правото на собственост в най-широк смисъл може да ограничи правото на личен живот и неприкосновеност на личността, което включва защита на личните данни, с цел защита на легитимен имуществен интерес. В случая тези права са от различен порядък, доколкото едното е право на търговско дружество, а другото основно и неотменимо право на човека. Правото на собственост (включващо и имуществените вземания) също е защитено от закона право, както за физическите, така и за юридическите лица, но въпросът е кое от тях ще има превес при колизия. Отговорът на този въпрос в случая следва да се реши през призмата на гаранциите, че личните данни ще се движат свободно при спазване на правилата от Регламента. За да бъде законосъобразно обработването на основание чл. 6, § 1, б е от Регламента администраторът следва да направи анализ на баланса между неговите законни интерес или законните интереси на третата страна и интересите или основните права и свободи на субекта на данните. Този баланс се проверява чрез тест с множество въпроси, но в случая основният е ще се постигне ли защита на интереса на ПИБ - да събере вземането си без да наруши правото на защита на личните данни на субекта на данните. Отговорът е, че ПИБ може да постигне удовлетворяване на този интерес с други способи, които не включват предоставянето на данните на титуляря на вземането на трето лице. Следователно не може да се направи извод, че имущественият интерес на банката е преимуществен над този за защита на личните данни на титуляря на вземането и неприложимост на основанието по чл. 6, § 1, б. е от Регламента.