Решение № 6307 от 27.6.2022 г. на ВАС, V о.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на "Спиди" АД против отхвърлително решение 5111/ 6.08.2021 г. по описа на Административен съд София- град. Иска отмяна на решението поради материална незаконосъобразност, необоснованост и при допуснати съществени нарушения на съдопроизводствените правила, отмяна на решението на КЗЛД или намаляване на размера на наказанието. Пратката е приета от лице, което е посочило, че е правилния адресат, с данни, които са зададени от подателя за получателя. "Спиди" АД не отговаря за законосъобразното обработване на лични данни, които евентуално се съдържат в пратката, в какъвто смисъл са мотивите на съда. Липсват въобще данни, че в пратката има лични данни. Жалбоподателят има качеството на администратор само за лични данни, които са върху товарителницата, но не и в пратката. Няма яснота дали за съда операторът е длъжен да идентифицира получателя, предвид Общите условия и инструкции на "Спиди" АД. Няма доказателства, че куриерът е "придал вид" на товарителницата, че пратката е получена от адресата. При обикновената куриерска услуга куриерът не изисква документ за самоличност на получателя и предоставя пратката при изричен отговор на лицето, че отговаря на данните от товарителницата. Пратката е получена от лице, което се е представило за "Сотирова". В материалите по делото се съдържа отговор на подателя, според който пратката не съдържа лични данни, а рекламни материали. Екземплярът от товарителницата за получателя е със заличени лични данни и телефонен номер, като е налице само адрес за получаване, който не представлява лични данни. Само върху екземпляр от товарителницата, предназначена за служителя на оператора, има лични данни. Възраженията относно индивидуализацията на наказанието въобще не са обсъдени. Ответната страна Комисия за защита на лични данни оспорва касационната жалба. Твърди, че решението е правилно, тъй като "Спиди" АД е администратор на лични данни както върху товарителницата, придружаваща пратката, така и в самата пратка и затова е допуснато нарушение по приемане, съхранение и предаване на лични данни в контекста на възложената доставка на пратка. "Порше Интер Ауто БГ" ЕООД и "Рапидо Експрес енд Лоджистик" ЕООД не изразява становище. В. Сотирова не изразява становище. Представителят на Върховната административна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211, ал. 1 АПК, от надлежна страна , намира същата за допустима. Разгледана по същество е неоснователна по следните съображения: Предмет на съдебен контрол за законосъобразност пред първоинстанционния съд по жалбата на "Спиди" АД е Решение ППН-01-1560/1.04.2021 г. на Комисията за защита на личните данни (КЗЛД), с което на основание чл. 42, ал. 1 (ред. ДВ, бр.81/2011 г.) от Закона за защита на личните данни (ЗЗЛД) на Спиди АД е наложена имуществена санкция в размер на 3 000 лева за нарушение на чл. 5, пар. 1, б. "а", предл.1 и 2 и б. "е" от Регламент 2016/679/ към дата 5.09.2019 г. при доставка на пратка с товарителница 60728765359, като по чл. 58, пар. 2, б. "г" от Регламента е разпоредено "Спиди" АД да съобрази операциите по обработване на лични данни с разпоредбите на Регламента, за целта да проведе обучение на служителите си и на служителите на подизпълнителите, които обработват лични данни от името на "Спиди" АД, определен е 6- месечен срок за изпълнение на разпореждането, като с т. 4 е наложена имушествена санкция от 3000 лв. на основание т.1 от решението и чл. 83, пар. 5, б. "а" вр. пар. 2 и пар. 3 и чл. 58, пар. 2 б. "и" от Регламент /ЕО/2016/ 679 . За да отхвърли жалбата с решение 5111/ 6.08.2021 г. по адм.д. 4651/ 2021 г. по описа на АССГ, първоинстанционният съд приема, че решението на КЗЛД е издадено от компетентен орган, в предписаната от закона форма и в съответствие с правомощията по чл. 38, ал. 2 от ЗЗЛД. КЗЛД е сезирана с жалба от В. Сотирова, по която е е образувана преписка, извършена е проверка и е постановен административен акт. На 4.09.2021 г. "Порше Интер Ауто БГ" ЕООД заявило за доставка пратка с товарителница 32534915 на "Рапидо Експрес енд Лоджистик" ЕООД, в която пратка имало писмо с формуляр, като писмото съдържа лични данни- две имена, адрес и телефонен номер по повод организирана сервизна акция. С писмото "Порше Интер Ауто БГ" ЕООД уведомява В. Сотирова, че притежаваното от нея МПС подлежи на сервизна акция за смяна на пасажерески еърбег. Съдът проиема, че данните върху товарителницата и в пратката -две имена, мобилен телефон, адрес по предишно местоживеене, качеството на В. Сотирова като собственик на конкретно и индивидуализирано МПС, представляват лични данни. Действията по приемане, съхранение и предаване на лични данни в контекста на възложената доставка на пратка от "Рапидо Експрес енд Лоджистик" ЕООД, представляват такива по обработване на лични данни. По делото е установено, че при доставяне на пратка, възложена от "Рапидо Експрес енд Лоджистик" ЕООД с посочената по-горе товарителница, предназначена за В. Сотирова, "Спиди" АД чрез неин служител, е извършило нарушение на пар. 5, ал. 1, б. "а" пр. първо и второ, б. "е" от Реграмент 2016/679, защото пратката е връчена на лице, различно от нейния получател, като на пратката е придаден вид, че е получена лично от В. Сотирова. Нарушени са принципите за законосъобразност и добросъвестност. Това е така, защото на 4.09.2021 г. В. Сотирова е уведомила "Спиди" АД, че не пребивава на посочения за доставка адрес, не посочва нов адрес за пренасочване на пратката. Според Инструкцията за работа по т.3 при грешен адрес куриерът е длъжен да уведоми подателя на товарителницата и да следва неговите инструкции. Служител обаче я уведомява, че ще бъде извършена проверка, като един ден по-късно получава обратно обаждане, че пратката вече е доставена. Пратката е доставена на 5.09.2019 г. обаче на неизвестно лице. Съдът приема, че личните данни не са обработвани по начин, който да гарантира подходящо ниво на сигурност на лични данни, не са приложени подходящи технически и организационни мерки, няма данни за правила за обработка на лични данни. Допуснато е нарушение и на принципа за цялостност и поверителност. Посочва, че дори само телефон върху товарителницата е достатъчно, за да се приеме обработване на лични данни. Съдът приема, че предписанието е законосъобразно, както и наложената санкция. Решението е правилно. При спазване на чл. 35 и 36 от АПК от страна на Комисията за защита на личните данни са изяснени всички релевантни за спора обстоятелства. На л.126 е приложено писмото на "Порше Интер Ауто БГ" ЕООД до адресата, в което се съдържат две имена- В. Сотирова, адрес гр.София, [улица] [тел. номер]., като на л. 127 е приложена реф. товарителница 60728765359 с имената на получателката, адрес и телефонен номер., издадена от "Мейлинг Порше София Запад". Приложена е на л. 137 товарителницата, съставена от "Рапидо Експрес енд Лоджистикс" ЕООД, генерирана в системата на "Спиди" АД чрез интгеграция, което позволява генериране на товарителница 60728765359 със съответните лични данни. Пратката е разнесена от куриер на "Спиди" АД на 5.09.2019 г., въпреки навременното телефонно обаждане от адресата на 4.09.2019 г., че не живее на посочения адрес. Връчена е на неизвестно лице, което се е подписало вместо В. Сотирова и този факт е доказан с графологичена експертиза. "Спиди" АД е самостоятелен администратор на лични данни и отговаря на дефиницията по чл. 3, ал. 1 и ал. 2 (отм.) ЗЗЛД, в относимата му редакция, както и на действащите чл. 4, ал. 7 и ал. 8 от Регламент (ЕС) 2016/679. В рамките на предоставяне на една услуга (в случая пощенска) е възможно при едни действия/операции съответното лице да има качеството на администратор на лични данни, а в други да има качеството на обработващ лични данни. Пощенският оператор осъществява дейност в условията на строга и изчерпателна нормативна регламентация като ЗПУ, поради което няма качеството на обработващ, а на самостоятелен администратор на лични данни. На пощенския оператор му се възлага да пренесе и достави определена пратка, в която може да се съдържат или да не съдържат лични данни. Съгласно чл. 6, ал. 3 от ЗПУ пощенските пратки се предоставят лично на получателите, в пощенските им кутии, в пощенските станции, като условията за доставяне се определят с общи правила, изготвени от КРС. В случая пратката е пътувала с услуга куриер "градски куриер- 1 ден" , с допълнителна услуга " обратна разписка" за сметка на "Рапидо Експрес енд Лоджистикс" ЕООД. Според Общите условия на пощенския оператор, при допълнителна услуга "препоръка" се изисква проверка на самоличността на получателя, какъвто не е настоящия случай. Лице, различно от получателя, може да получи пратката, според Общите условия, срещу подпис и предоставен документ за самоличност, като трите имена на това лице се вписват в служебните документи на дружеството. Куриерът е предал пратката по "обичайни правила на бранша" на лице, което се е намирало на адреса и не е адресата, но без да извърши проверка на самоличностт, без да отрази това надлежно в системата на "Спиди" АД / л. 161 писмо на "Спиди" АД до КЗЛД/. Твърдението на пощенския оператор, че върху самата пратка няма лични данни на получателя като имена и адрес не е подкрепено от никакви доказателства и само се твърди. Но за да бъде администратор на лични данни е достатъчно, че в съпътстващите документи като товарителница, екземпляр на подателя, се съдържат имена, мобилен телефон, адрес и това представлява обработване на лични данни като действие по приемане, съхранение и предаване на лични данни. Изискването на закона пощенските пратки да се предоставят лично на получателите представлява мярка за защита на субекта на лични данни с цел удостоверяване на самоличността на получателя и гарантиране на законосъобразността на обработване на личните данни като отговор на задълженията на администратора да въвежда подходящи технически и организационни мерки по смисъла на чл. 24 и чл. 25 от Регламента. Видно от приложената Инструкция за работа на куриер, куриерът идентифицира получателя физическо лице само като изисква име и фамилия на получателя на адреса и сверява името и фамилията с тези в Опис за разнос пратки, което не гарантира връчването на пратката лично на получателя. Като е приел, че е допуснато нарушение на принципа на законосъобразност и добросъвестност по смисъла на чл.5, ал.1, пар.1, б."а" и б."е" от Регламент /ЕО/ 2016/ 679 на КЗЛД съдът е постановил материално законосъобразно решение, което следва да се остави в сила. Неприлагането на подходящи технически и организационни мерки има за последица достъп на лични данни от страна на трето лице без правно основание, поради което приложената принудителна административна мярка и наложената санкция от 3000 лева за обосновани и законосъобразни. Предвид изхода на делото направените от ответника по касационната жалба КЗЛД разноски в размер на юрисконсултско възнаграждение следва да бъде уважено. Същото е поискано с отговора на касационната жалба на л. 32 от делото и се дължи ,съгласно чл. 143, ал. 3 и чл. 78, ал. 8 вр. с чл. 37, ал.1 от ЗПП вр. с чл. 24 от Наредбата за заплащането на правната помощ и се дължи по преценка на съда в размер на 200 лева, предвид фактическата и правна сложност на спора. Воден от изложеното и на основание чл. 221, ал. 2, изр. първо от АПК, Върховният административен съд, пето отделение,