Решение № 5118 от 19.04.2018 г. на ВАС по адм. д. № 13479/2016 г.

Решение № 5118 от 19.04.2018 г. на ВАС по адм. д. № 13479/2016 г., V о., докладчик съдията Юлия Ковачева Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс.

Образувано е по касационна жалба на Н. Г. К. против решение № 5560 от 8.08.2016 г. по адм. дело № 4084/2016 г. на Административен съд - С.-град.

С обжалваното решение № 5560 от 8.08.2016 г. по адм. дело № 4084/2016 г. на Административен съд -С.-град, съдът е отхвърлил жалбата на Н. Г. К. против решение № Ж-350/22.03.2016 г. на Комисията за защита на личните данни, с което е оставена без уважение негова жалба рег. № Ж-350/24.08.2015 г. за неправомерно обработване на личните му данни от Национална агенция по приходите, чрез действия по разпространение на личните данни във връзка с осъществявана спрямо Кехайов ревизия от органите по приходите.

Касационният жалбоподател поддържа, че обжалваното решение е неправилно поради постановяването му при съществени нарушения на съдопроизводствените правила, неправилно приложение на материалния закон и необоснованост, съставляващи касационни основания за отмяна по чл. 209, т. 3 АПК.

Излага доводи, че съдът не е изпълнил задължението си да оцени и анализира събрания доказателствен материал по делото, поради което е достигнал до погрешни правни изводи. Поддържа, че в ревизионното производство са допуснати нарушения от органите по приходите в два пункта: 1. незаконосъобразно са предоставени личните му данни на трети лица, от които Националната агенция по приходите е искала документи и обяснения в хода на ревизията; и 2. незаконосъобразно са предоставени негови лични данни на лица, които не са участвали или свързани по какъвто и да е начин с извършваната ревизия. В тази насока сочи, че съдът не се е произнесъл по всички наведени в жалбата оплаквания за неправомерно разкриване на личните му данни на трети лица, без това да е необходимо за да упражнят органите по приходите признатите им от закона правомощия или в защита на законни интереси на третите лица, на които са разкрити данните.

По подробно релевирани доводи в касационната жалба за неправилно тълкуване и прилагане на разпоредбите на чл. 4, ал. 1, т. 6 и 7 от Закона за защита на личните данни в контекста на забраната по чл. 73 от Данъчно-осигурителния процесуален кодекс, касационният жалбоподател иска да се отмени обжалваното решение и се реши спора по същество като се отмени решението на Комисията за защита на личните данни и се уважи жалбата му.

Ответникът по касационната жалба - Комисията за защита на личните данни, чрез процесуалния си представител, поддържа, че обжалваното решение е правилно и не са налице касационни основания за отмяната му. Излага доводи, че не е допуснато нарушение на правата на Н. К. при обработване на личните му данни от органите по приходите.

Ответникът по касация - Национална агенция по приходите, представя писмен отговор, в който изразява становище за неоснователност на касационната жалба. Заявява позиция, че личните данни на касатора са обработвани правомерно при провеждане на ревизионното производство, в хипотезата на чл. 4, ал. 1, т. 6 ЗЗЛД. Намира за правилен извода на съда, че в случая е налице и хипотезата на чл. 4, ал. 1, т. 7 ЗЗЛД. При тези съображения, развити в писмения отговор, поддържа, че следва да се потвърди обжалваното решение като правилно и обосновано. Териториална дирекция на Национална агенция по приходите - В., също ответник в касационното производство, не е изразила отделно становище по касационната жалба.

Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба.

Върховният административен съд, състав на пето отделение, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното:

Административният съд е установил от фактическа страна следните релевантни обстоятелства:

Административното производство пред Комисията за защита на личните данни е образувано по жалба на Н. Г. К. с оплаквания за неправомерно обработване на личните му данни от Националната агенция по приходите.

С решение № Ж - 350/22.03.2016 г. Комисията за защита на личните данни е приела от фактическа страна, че органите по приходите са извършили проверка на жалбоподателя за установяване на съответствие между имущественото и финансовото му състояние с получени доходи за периода 1.07.2007 г. - 31.12.2012 г., като с оглед резултата от същата са извършили ревизия, приключила с издаване на ревизионен доклад № 1402536/18.08.2014 г. и ревизионен акт № Р-18-1304992-091-01/5.01.2015 г. В хода на проверката, жалбоподателят е представил 4 бр. запис на заповеди, 2 бр. приходни касови ордери, 1бр. разходен касов ордер, 2 бр. разписки и 2бр. договори за покупко-продажба, по които е страна. На лицата, посочени в тези документи, служителите на Националната агенция по приходите са изпратили искания за предоставяне на документи и писмени обяснения от трети лица (ИПДПОТЛ). Изпратено е също искане до Обединена българска банка АД с изх. № Вх... - 49648/19.07.2013 г. за предоставяне на информация за банкови сметки на четири лица, включително на Н. Г. К., в качеството му на едноличен търговец, в отговор на което е получено писмо от банката с вх. № Вх... - 49648-2/02.08.2013 г.

В изпратените искания до физическите лица и ОББ АД жалбоподателят е идентифициран с трите си имена, единен граждански номер, единен идентификационен номер по Закона за търговския регистър/БУЛСТАТ, адрес за кореспонденция, адрес по чл. 8 от Данъчно-осигурителния кодекс. В отговора от ОББ АД на всяко от четирите лица са посочени трите имена, единният граждански номер и номерата на банковите им сметки.

Жалбоподателят поддържа, че това писмо е получено от него, както и от останалите физически лица, визирани в същото .

С оглед изложените обстоятелства, Комисията е приела, че предоставянето на личните данни на жалбоподателя на трети лица за целите на извършваната спрямо него проверка като форма на обработване на личните данни попада в хипотезата на чл. 4, ал. 1, т. 6 ЗЗЛД - обработването е необходимо за упражняване на правомощията, предоставени със закон на администратора на лични данни. Тези правомощия са предвидени в чл. 12, ал. 1 ДОПК и съобразно застъпеното в закона служебно начало - чл. 37 от ДОПК, обработването е законосъобразно и не е налице нарушение на правата на жалбоподателя.

На следващо място, Комисията е приела, че е налице предвиденото в чл. 4, ал. 1, т. 7 ЗЗЛД условие за допустимост на обработването на лични данни на жалбоподателя, т. к. е необходимо за реализиране на законните интереси на администратора на лични данни, които са преимуществени пред интересите на физическото лице, за което се отнасят данните.

При тези съображения, Комисията е счела, че обработването е допустимо в хипотезите на чл. 4, ал. 1, т. 6 и 7 ЗЗЛД, личните данни на жалбоподателя са обработени в съответствие с принципите на чл. 2, ал. 2 ЗЗЛД, като няма доказателства да са обработени допълнително по начин, несъвместим с тези цели и оставила без уважение жалбата на Кехайов.

Административният съд, след като обсъдил изложените по-горе фактически и правни обстоятелства, приел, че Националната агенция по приходите е администратор на лични данни, а Териториална дирекция на Национална агенция по приходите - В. има качеството на обработващ лични данни. При изпълнение на правомощията си по чл. 37 ДОПК, органите по приходите са изискали необходимата информация за установяване размера на извършените разходи и получени приходи от жалбоподателя за проверявания ревизионен период.

Съдът е възприел изцяло изводите на административния орган за допустимост на обработването на лични данни в хипотезите на чл. 4, ал. 1, т. 6 и 7 ЗЗЛД. В подкрепа на този извод е посочил, че когато съответните лични данни се изискат от орган по приходите по реда на чл. 37, ал. 2, 3 и 5 във вр. чл. 12, ал. 1, т. 11 ДОПК е налице хипотезата на 36з, ал. 1, т. 3, б. "а" ЗЗЛД. Изтъкнал е, че обработването на личните данни на жалбоподателя попада в хипотезата на чл. 4, ал. 1, т. 6 ЗЗЛД и е необходимо за упражняване на правомощия, предоставени със закон на администратора и за защита на фиска, както и, че е налице условието за допустимост по чл. 4, ал. 1, т. 7 ЗЗЛД, съгласно който обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, и съответно - тези интереси надделяват над интересите на физическото лице, за което се отнасят данните.

Така мотивиран, съдът е постановил обжалвания резултат.

Върховният административен съд, след като прецени доводите и възраженията на страните и доказателствения матирал по делото, приема, че касационната жалба е основателна. Обжалваното решение е неправилно, по следните съображения:

Оплакванията на жалбоподателя пред административния орган и в съдебното производство са в два пункта:

1. Неправомерно обработване на личните му данни чрез разкриването им от органите по приходите в исканията за предоставяне на документи и писмени обяснения от трети лица на тези лица, които не са администратори на лични данни, не е налице негово съгласие за това и тази информация не е необходима, за изпълнение на задълженията им, произтичащи от писмата.

2. Неправомерно предоставяне на личните му данни, съдържащи се в писмо вх. № Вх... - 49648-2/2.08.2013 г. на Обединена българска банка АД, от органите по приходите на трети лица, които нямат никакво отношение към ревизионното производство и личността на жалбоподателя.

Съдът е приел, че спорът попада в хипотезите на чл. 4, ал. 1, т. 6 и 7 ЗЗЛД и е обсъдил общо данните по делото, без да се произнесе по оплакванията на жалбоподателя, които визират два самостоятелни случая, независимо че са осъществени в рамките на провежданото спрямо него ревизионно производство. Не е обвързал конкретните фактически обстоятелства по двата пункта, посочени по-горе, с правните норми, които е намерил за приложими и поради това е достигнал до погрешен и необоснован краен извод за липса на нарушение на цитираните нормативни разпоредби.

При разглеждане на спорния предмет, съдът не е отчел, че Комисията за защита на личните данни, с обжалваното решение не е отговорила по същество на оплакванията на жалбоподателя за неправомерно предоставяне на личните му данни от органите на приходната агенция във връзка с обема лична информация, разкрита в исканията до трети лица. Видно от оспореното решение пред административния съд, Комисията изобщо не е обсъдила доводите му във връзка с предоставяне на трети лица на писмото на Обединена българска банка АД, в което се съдържат лични данни на жалбоподателя и съответно не е изградила заключение има ли нарушаване на правата на касатора в този случай. Този пропуск на административния орган да отговори с акта си по същината на двата поставени проблема от касатора не е констатиран от съда при обсъждане законосъобразността на оспореното решение. Не са коментирани в мотивите на съдебния акт релевираните оплаквания на жалбоподателя, че с изпращане на писмото на Обединена българска банка АД неговите лични данни - трите имена, единен граждански номер, банкови сметки, са станали известни на трети лица, непознати за него и обратното - техните лични данни са му станали известни с факта на получаване на писмото.

Съгласно чл. 4, ал. 1, т. 6 ЗЗЛД, обработването на лични данни е допустимо, когато е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните.

Безспорно е, че Национална агенция на приходите е администратор на лични данни и разполага с правомощието да обработва лични данни на физическите лица при упражняване на функционалните си дейности и задачи.

В чл. 37, ал. 1 - 8 ДОПК е предвидено, че органите по приходите събират служебно доказателства, а проверяваните и ревизирани лица са длъжни да предоставят всички данни, сведенията, документите, книжата, носителите на информация и другите доказателства относно посочените в искането факти и обстоятелства, подлежащи на установяване в съответното производство.

В чл. 56, ал. 1 ДОПК е уредено правомощието на органите по приходите да изискват писмени обяснения от трети лица, с които могат да се установяват факти от значение за ревизията, които са били възприети от третите лица.

Разпоредбата на чл. 4, ал. 1, т. 6 ЗЗЛД дава правомощие на администратора на лични данни да разкрива на трети лица личните данни, които обработва, когато това е необходимо, за да упражнява правомощията си.

В § 1, т. 1 ДР на ЗЗЛД е дефинирано понятието "обработване на лични данни" като: всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

В т. 5 на § 1 ДР на ЗЗЛД е посочено, че "предоставяне на лични данни" са действия по цялостно или частично пренасяне на лични данни от един администратор към друг или към трето лице на територията на страната или извън нея.

В обсъждания случай, Комисията не е отговорила по същество с решението си дали на администратора на лични данни е необходимо обработването на личните данни на жалбоподателя под формата на разкриване чрез предаване на трети лица в обема, съдържащ се в изпратените до тях писма, за да упражни правомощията си в рамките на провежданото ревизионно производство - да изясни релевантните обстоятелства и събере необходимите документи.

Третите физически лица, на които са предоставени личните данни на жалбоподателя, няма данни и не се твърди да са администратори на лични данни, както няма фактически и правни основания да се приеме, че личните данни на Кехайов са им необходими за реализирането на техни правомощия.

Според чл. 1, ал. 3 от Закона за гражданска регистрация, гражданската регистрация включва съвкупност от данни за едно лице, които го отличават от другите лица в обществото и в семейството му в качеството на носител на субективни права, като име, гражданство, семейно положение, родство, постоянен адрес и др.

Предвид дефиницията за лични данни в чл. 2, ал. 1 ЗЗЛД - лични данни са всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. По смисъла на § 1, т. 16 ДР на ЗЗЛД, специфичните признаци включват физическата идентичност - това са данните, очертаващи гражданскоправния статус на физическото лице - трите има, адрес, ЕГН, паспортни данни и пр., т. е. данните по гражданската регистрация са лични данни.

Единият граждански номер е административен идентификатор на подлежащите на регистрация физически лица, съгласно чл. 3, ал. 2 от Закона за гражданската регистрация. Това е уникален номер, чрез който физическите лица се определят еднозначно и неговото предназначение не е само и единствено за целите на "националния регистър на населението". Този идентификатор фигурира във всички документи за самоличност и служи за еднозначното идентифициране на едно физическо лице български гражданин.

Същевременно, съгласно чл. 84, ал. 1 ДОПК, едноличните търговци се идентифицират чрез единен граждански номер, съответно личен номер на чужденец, и чрез единен идентификационен код, определен по реда на Закона за търговския регистър.

Основно правило е личните данни, които се обработват да бъдат пропорционални и съотносими на целите, за които се обработват. В случая, съдът неправилно е възприел изводите на Комисията за правомерност на действията на органите по приходите, при положение, че тези изводи не се предхождат от анализ и отговор на спорния въпрос по първото оплакване на касатора - дали предоставената информация в изпратените писма съдържа лични данни в по-голям обем, от този който е достатъчен, за да бъде еднозначно идентифицирано лицето . В този контекст не е изяснен въпросът необходимо ли е било разкриването на единния граждански номер на жалбоподателя в исканията, отправени на основание чл. 37, ал. 5 и чл. 56, ал. 1 вр. чл. 57 ДОПК от органа по приходите до третите лица, и изобщо - предоставени ли са лични данни на жалбоподателя, които не са били необходими за неговата идентификация от третите лица, както и от значение за изясняване на фактите относно - датата, начина и причините за предоставяне на паричните средства и техния произход в описаните по-горе писмени документи. Не е отговорено на доводите му, че в приложените по преписката записи на заповеди, разписки, касови ордери и договори, се съдържат различен по обем негови лични данни, а в изпратените до контрагентите му писма се предоставя информация, което надхвърля необходимия и достатъчен минимум от лични данни, за да бъде идентифициран от тях и предоставят изисканите сведения и обяснения. Доводите на ответната страна, че Н. К. сам е предоставил личните си данни на тези лица не кореспондират с фактите по делото. Още повече, законосъобразното упражняване на правомощията на публичните институции в сферата на обработване на личните данни на физическите лица не е в зависимост от волеизявленията на лицата в гражданския оборот, които не се регулират от Закона за защита на личните данни - арг. чл. 1, ал. 9 ЗЗЛД.

Съгласно чл. 23, ал. 1 ЗЗЛД, администраторът на лични данни е длъжен да предприеме необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване. Обработването на личните данни, в т. ч. единния граждански номер, в случая - под формата на идентификационен код, следва да бъде по начин, който защитава личните данни на физическото лице от неправомерен достъп и не допуска възможност за използване от неоторизирани лица.

Основателно е възражението на касационния жалбоподател във връзка с предоставяне на негови лични данни, посочени в писмото на Обединена българска банка АД от администратора на лични данни, на трети лица, за които твърди, че дори не ги познава, което оплакване не е било обсъдено от комисията, а съдът не е отбелязал това обстоятелство. По същество, няма изложени мотиви допуснато ли е нарушение на правилата за обработване на лични данни от органите по приходите в този случай. Неизяснено е останало по делото при какви обстоятелства и по какви причини личните данни на жалбоподателя са им били предоставени.

Релевантно е оплакването на касационният жалбоподател, че не е обсъдено писмо изх. № 94-н-591-6/10.11.2015 г. на изпълнителния директор на НАП, с което е уведомен, че при извършена проверка по повод подадената от него жалба с вх. № 94-Н-591/24.08.2015 г. инспекторатът на НАП е установил, че е извършено нарушение на разпоредбите на Данъчно-осигурителния кодекс, регламентиращи запазването в тайна на данъчна и осигурителна информация. По делото е останало неизяснено какъв е предметът на жалбата, какви са констатациите на проверяващите органи по същата и относими ли са към спорния предмет по делото.

Неправилен е изводът на съда, че хипотезата на чл. 4, ал. 1, т. 7 ЗЗЛД намира приложение в разглеждания казус. О. на лични данни от органите по приходите е функция на правомощията им и условие за изпълнение на възложените им дейности с чл. 12, ал. 1 ДОПК. В този смисъл, обработването на лични данни от органите по приходите не е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен ако надделяват интересите на физическото лице, чиито данни се обработват. Органите по приходите не реализират свои законни интереси, а упражняват правомощия, възложени им от законодателя в производствата по установяване на задълженията за данъци и задължителни осигурителни вноски, както и по обезпечаване и събиране на публичните вземания, възложени на органите по приходите и публичните изпълнители.

Върховният административен съд е имал възможност да посочи в практиката си, че за разлика от хипотезата на чл. 4, ал. 1, т. 6 ЗЗЛД, която има за адресат органите на държавна власт, съответно субекти, на които изрично законодателят е предоставил правото да регулират определени правоотношения с властнически метод, в т. 7 е регламентирано правото на трети лица, за реализиране на законните им интереси, да обработват лични данни. Това право обаче е ограничено от интересите на лицето, за което се отнасят данните, когато тези интереси имат преимущество пред законните интереси на третото лице. Следователно, за да е законосъобразна обработката на личните данни е необходимо получателят им да се нуждае от тях за реализиране на законни интереси и интересите на лицето, чиито данни се разкриват, да нямат преимущество пред интересите на третото лице - решение № 9442 от 28.06.2011 г. по адм. д. № 2889/2011 г. на ВАС, 5-членен с-в.

Няма данни и не се твърди по делото разкриването на личните данни на жалбоподателя на третите лица да е свързано с реализиране на някакви техни законни интереси, свързани със защита на техни основни права и свободи, т. е. хипотезата на чл. 4, ал. 1, т. 7 ЗЗЛД не намира приложение в обсъждания случай.

Не намира опора в приложимата нормативна уредба изводът на съда за приложение на правилото на чл. 36з, ал. 1, т. 3, б. "а" ЗЗЛД в случаите, когато органите по приходите изискват информация по реда на чл. 37, ал. 2, 3 и 5 вр. чл. 12, ал. 1, т. 11 ДОПК.

С изменения и допълнения в Закона за защита на личните данни, обн. ДВ, бр. 81/2011 г. са въведени разпоредбите на Рамково решение 2008/977/ПВР на Съвета от 27 ноември 2008 г. относно защитата на личните данни, обработвани в рамките на полицейското и съдебното сътрудничество по наказателноправни въпроси - § 15 ДР на ЗИДЗЗЛД. С предприетите изменения и допълнение на закона е регламентирана възможността данни, получени от други държави-членки или от органи и информационни системи на Европейския съюз за нуждите на наказателното производство или изпълнението на наказания, да бъдат обработвани и за други цели.

Разпоредбата на чл. 36з, ал. 1, т. 3, б. "а" ЗЗЛД гласи че, администратор, получил данни по чл. 1, ал. 6, може да ги предостави на трето физическо или юридическо лице само в случай че предоставянето е от съществено значение за изпълнение на законоустановено задължение на предоставящия данните. Администратор на лични данни обработва такива в хипотезата на чл. 1, ал. 6 ЗЗЛД - когато в рамките на полицейско или съдебно сътрудничество данни по ал. 5, т. 3, 4 и 5 са получени от или са предоставени на държава - членка на Европейския съюз, или органи или информационни системи, създадени въз основа на Договора за създаването на Европейския съюз или на Договора за функциониране на Европейския съюз. Фактите по настоящия казус няма основание да бъдат подведени към фактическия състав на чл. 1, ал. 6 ЗЗЛД, поради което и чл. 36з, ал. 1, т. 3, б."а" ЗЗЛД не е относим към спора.

Предвид изложеното, изводите на съда за допустимост на обработването на личните данни на жалбоподателя в хипотезите на чл. 4, ал. 1, т. 6 и 7 ЗЗЛД не почиват на анализ на релевантните факти, поради което не могат да бъдат споделени. При правилно очертан предмет на спора - правомерно ли са обработени личните данни на Н. К. в обем от имена, единен граждански номер, адрес и номера на банкови сметки чрез действия на органите по приходите при провеждане на ревизионното производство, съдът неправилно е приел, че с оспореното пред него решение Комисията за защита на лични данни е обсъдила всички релевантните факти и мотивирано е достигнала до законосъобразен извод за липса на нарушения от органите по приходите при обработване на личните данни на касационния жалбоподател. По изложените по-горе съображения, решението на Комисията за защита на личните данни е незаконосъобразно. Поради това, обжалваното съдебно решение следва да се отмени и вместо него се постанови друго, с което да се отмени оспореното от касационния жалбоподател решение на Комисията за защита на личните данни и се върне преписката на административния орган за ново разглеждане, при съобразяване с указанията, дадени в настоящото решение по тълкуване и прилагане на закона.

С оглед изхода на спора, Комисията за защита на личните данни следва да заплати на касационния жалбоподател Н. Г. К. направените разноски пред двете инстанции общо в размер на 165 лв. - 150 лв. адвокатско възнаграждение и 10 лв. държавна такса в производството пред първата инстанция и 5 лв. държавна такса за касационната инстанция.

Водим от горното, Върховният административен съд, пето отделение,