Решение № 3129 от 14.3.2024 г. на ВАС по адм. д. № 7496/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "А1 България" ЕАД гр. София, представлявано от юрисконсулт Я. Захариев срещу Решение 3942 от 15.06.2023 г., постановено по адм. д. 3774/2023 г. по описа на Административен съд София-град/АССГ/. С обжалваното решение е отхвърлена жалбата на "А1 България" ЕАД срещу Решение ППН-01-169/16.03.2023 г. на Комисия за защита на личните данни /КЗЛД/, с което жалбата на В. Иванов , с рег ППН-01-169/02.03.2022 г. е обявена за основателна, на дружеството е наложена санкция в размер на 2 000 лева, на основание чл. 58, § 2, б. "и" от Регламент ЕС 2016/679 /Регламента/ за нарушение на чл.5,§1,б.б и б. е от Регламента. Касационният жалбоподател поддържа, че атакуваното решение е постановено при неправилно приложение на материалния закон и при съществено нарушение на съдопроизводствените правила - касационни основания за отмяната по чл. 209, т. 3 от АПК. Претендират се и направените по делото разноски, в минимален размер. Ответникът по касация Комисия за защита на личните данни, чрез процесуалния си представител ю. к. Иванова оспорва касационната жалба и в писмени бележки излага подробни съображения за правилност на оспореното решение. Иска се от съда същото да бъде оставено в сила. Претендира се юрисконсултско възнаграждение и се прави възражение за прекомерност на претендираните от ответната страна разноски. Ответникът по касация В. Иванов оспорва касационната жалба като неоснователна. Прокурорът от Върховна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Счита, че първоинстанционният съд е изяснил фактите по делото и е направил изводи в съответствие с установената фактическа обстановка и приложимото материално право, при липса на допуснати съществени нарушения на процесуалните правила, което обосновава липсата на касационни основания за отмяна. Върховният административен съд състав на пето отделение, намира касационната жалба за процесуално допустима, като подадена в преклузивния 14-дневен срок по чл. 211, ал. 1 АПК, от страна с правен интерес по смисъла на чл. 210, ал. 1 АПК, за която решението е неблагоприятно, срещу подлежащ на касационно оспорване съдебен акт. Разгледана по същество на основанията посочени в нея и след проверка на решението за валидност, допустимост и съответствие с материалния закон, съгласно чл. 218, ал. 2 от АПК, касационната жалба е неоснователна. При извършване преценка по прилагането на материалния закон въз основа на фактите, установени от първоинстанционния съд в обжалваното решение, в съответствие с чл. 220 АПК, настоящият състав приема от правна страна следното: Предмет на съдебен контрол за законосъобразност в първоинстанционното производство е Решение ППН-01-169/16.03.2023 г. на КЗЛД, с което жалбата на В. Иванов , с рег ППН-01-169/02.03.2022 г. е обявена за основателна, на дружеството е наложена санкция в размер на 2 000 лева, на основание чл. 58, § 2, б. "и" от Регламента за нарушение на чл.5,§1,б.б и б. е от същия. От събраните по делото доказателства се установява, че производството пред КЗЛД е образувано по жалба на В. Иванов срещу "А1 България" ЕАД, с предмет - неправомерно обработване на нетови лични данни от страна на дружеството. В жалбата е отразено, че от електронно съобщение ,постъпило на 17.02.2022г. от a1@contracts.a1.bg е узнал, че документи , съдържащи негови лични данни/три имена,ЕГН,адрес,телефонен номер, имейл и саморъчен подпис/са използвани за създаването на профил в Моят А1. Твърди , че иницииращият документ не е подписан от него, поради което в същия ден е поискал разяснение от мобилния оператор, връщайки отговор на електронната поща на последния, заявявайки ,че не е подписвал заявлението и предявява искане профилът да бъде анулиран. Реакция от оператора не последвала, поради което Иванов изпратил ново електронно съобщение, провел и телефонен разговор с колцентъра на мобилния оператор, но казусът му не бил разрешен. На 02.03.2022 г. Иванов сезирал КЗД с изложените данни. В производството пред КЗЛД е установено, че жалбоподателят е абонат на мобилния оператор, въз основа на сключен помежду им договор на 02.04.2018г. Дружеството разполага с алтернативна функционалност, в допълнение на конвенционалните опции за сключване на договор, позволяваща извършване на поръчки посредством т. нар. А1 е-подпис, представляващо поредица от действия оторизация чрез мобилен телефон за връзка, поръчка чрез Моят А1, получаване на уникален идентификационен код за всяка отделна дейност. Въз основа на това към партидата на Иванов е добавена бланка за съгласие относно описания механизъм за сключване на договор. Мобилният оператор не е отговорил на възражението на жалбоподателя, тъй като мейлът му е третиран като зловреден. При вътрешната проверка, след сезирането на КЗЛД, е установено, че заявлението наистина не е подписано от Иванов и са предприети мерки за премахването му от неговата партида. На проведеното на 20.07.2022 г. закрито заседание, КЗЛД приела жалбата на Иванов за допустима, същата била разгледана в едно открито заседание, обективирано в протокол 37/12.10.2022 г., като събраните в производството доказателства потвърдили изложените по-горе обстоятелства и КЗЛД постановила процесното решение. В същото били изложени мотиви за допустимост на жалбата и нейната основателност, отчетени били обстоятелствата по чл. 83, § 2 от Регламент (ЕС) 2016/679, реално настъпилите вреди за Иванов от неправомерното обработване на личните му данни, поведението на дружеството след сезиране от жалбоподателя и не предприемане каквито и да било действия и смекчаващите отговорността обстоятелства. При така установеното от фактическа страна първоинстанционният съд от правна страна е приел, че оспореният административен акт е издаден от компетентен орган, в кръга на правомощията му, съгласно чл. 38, ал. 3 от ЗЗЛД, в законоустановената форма, съгласно чл. 59 от АПК, като при издаването му не са допуснати съществени административно-процесуални нарушения. Изложил е съображения, че жалбата на В. Иванов до КЗЛД е била допустима, като подадена в срока по § 44, ал. 2 от ПЗР на ЗИДЗЗЛД, а постановеното от КЗЛД решение е издадено в съответствие с материалния закон и целта на закона. Обосновал е извода, че дружеството е допуснало нарушение на ЗЗЛД и Регламент (ЕС) 2016/679, като е обработило личните данни на Иванов в нарушение на принципите заложени в регламента, поради което правилно КЗЛД е ангажирала отговорността на дружеството за нарушение на чл. 5, § 1, б. "б" и б. "е" от Регламента. Посочил е, че КЗЛД е констатирала, че "А1 България" ЕАД сама е нарушила въведените от нея технически и организационни мерки за защита на личните данни и предвид констатираните нарушения правилно е ангажирана отговорността на дружеството на основание чл. 82, § 2 от Регламента . Върховният административен съд петото отделение споделя изводите на първоинстанционния съд и намира постановеното от него решение за валидно, допустимо и правилно. Правилни са изводите на първоинстанционния съд, че оспореното решение на КЗЛД е взето от компетентен орган, в кръга на правомощията му, в изискуемата се форма и реквизити по чл. 59, ал. 2 от АПК, при липса на допуснати нарушения на административнопроизводствените правила, които да бъдат квалифицирани като съществени. Правилен е и изводът, че жалбата на В. Иванов до КЗЛД е била допустима, като подадена в законовият срок. Неоснователни се явяват и твърденията на касатора, че в случая е приложим чл. 6, § 1, б. "б" от Регламента, тъй като за "А1 България" ЕАД е било налице законово основание за събиране и обработване на личните данни на Иванов като абонат на мобилна гласова телефонна услуга. Безспорно е, че В. Иванов е абонат на касатора за услуги, предоставяни чрез мобилен номер , въз основа на сключен на 02.04.2018 г. за предоставяне на мобилна услуга и във връзка с посочения договор същият е дал съгласие за обработване на личните му данни. Иванов обаче не е давал съгласие за обработване на личните му данни във връзка с ползване на услугата -активиране на функционалност А1 е-подпис не е подписвал приложеното заявление за активиране. Предвид изложеното не може да се наложи извода, че "А1 България" ЕАД, като администратор на лични данни по смисъла на чл. 4, § 7 от Реглаента, законосъобразно е обработвал личните данни на Иванов, в съответствие с изискванията на чл. 6, § 1, б. "а" от Регламента "субектът на данните да е дал съгласие за обработване на личните му данни за една или повече конкретни цели" - при липса на съгласие за целта на предоставяне на услугата активиране на нова функционалност и в съответствие с изискванията на чл. 6, § 1, б. "б" от Регламента "обработването на данните е необходимо за изпълнение на договор, по който субектът на данните е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор". Липсата на взаимовръзка между целите на обработване на сключеният договор и последвало заявление/ не подписано и не изхождащо от абонатът/ , обосновава липсата на "необходимостта" за обработването по смисъла на чл. 6, § 1, б. "б" от Регламента, поради което правилен се явява и изводът на първоинстанционния съд за неправомерно обработване, събиране, употреба и съхранение на личните данни на Иванов , при липса на законово основание от страна на "А1 България" ЕАД. Обработването на лични данни в нарушение на чл. 6, § 1 от Регламента обосновава нарушение на един от принципите, свързани с обработването на личните данни, регламентиран в чл. 5, § 1, б. "а" от Регламента, а именно: личните данни да са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните /"законосъобразност, добросъвестност и прозрачност"/. Правилен се явява и извода на решаващия съд, че администраторът на лични данни не е спазил въведените от него технически и организационни мерки за защита на личните данни, с което е допуснато нарушение на чл. 32, § 1, б. "б" и § 4 от Регламента и нарушение на принципа по чл. 5, § 1, б. "е" от Регламента. Въведените от администратора такива, съгласно представените по преписката доказателства, не са препятствали неразрешеното и незаконосъобразно обработване на лични данни, каквото се установява в случая. Неоснователни се явяват и твърденията на касатора за неправилност на решението и в частта относно размера на наложената от КЗЛД санкция - несъобразена с характера и степента на твърдяното нарушение и относно даденото, в нарушение на чл. 58, § 2, б. "г" от Регламента, разпореждане. Както административният орган, така и съда задълбочено са анализирали всички релевантни обстоятелства за ангажиране отговорността на дружеството, визирани в чл. 83, § 2 от Регламента, като изложените мотиви на първоинстанционния съд се споделят от настоящият състав и с оглед правомощията си по чл. 221, ал. 2, изр. последно от АПК, препраща към тях. Констатираните нарушения на чл. 5 и чл. 6 от Регламента обосновават налагане на имуществена санкция по чл. 83, § 5, б. "а" от същия. Вследствие на извършения анализ на елементите на чл. 83, § 2 от Регламента, по отделно и в тяхната съвкупност и отчитайки целта на наложеното наказание, определеният размер на наложената имуществена санкция - в размер на 2 000 лева се явява съобразен с характера, вида и тежестта на извършените от администратора нарушения. Същата е определена и в размерите, визирани в чл. 83, § 5, б. "а". По изложените съображения, настоящият състав намира, че първоинстанционният съд е обсъдил всички относими за правилното решаване на спора доказателства, надлежно и аргументирано е анализирал всички факти от значение за спорното право и е направил верни изводи за незаконосъобразност на атакуваната заповед. При липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. При този изход на спора, в полза на Комисията за защита на личните данни следва да се присъди юрисконсултско възнаграждение в размер на 150 (сто и петдесет) лева, на основание чл. 78, ал. 8 от ГПК във връзка с чл. 144 от АПК, във връзка с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, платимо от касатора. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, пето отделение