Решение № 5794 от 3.05.2018 г. на ВАС по адм. д. № 10061/2016 г.

Решение № 5794 от 3.05.2018 г. на ВАС по адм. д. № 10061/2016 г., V о., докладчик съдията Юлия Ковачева Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс.

Образувано е по касационна жалба на Политическа партия [ПП] против решение № 1542 от 07.03.2016 г. по адм. дело № 12572/2015 г. на Административен съд – София-град. В нея са развити доводи за неправилност на съдебния акт поради постановяването му при неправилно приложение на материалния закон, допуснати съществени нарушения на съдопроизводствените правила и необоснованост – касационни основания за отмяна по чл. 209, т. 3 АПК.

Ответникът по касационната жалба – Комисията за защита на личните данни, чрез процесуалния си представител, изразява становище, че обжалваното решение е правилно и не са налице сочените касационни основания за отмяната му.

Ответниците – физически лица, не са представили позиция по касационната жалба.

Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба.

Върховният административен съд, състав на пето отделение, намира, че касационната жалба е процесуално допустима като подадена от надлежна страна, в законния срок. Разгледана по същество е неоснователна, по следните съображения:

С обжалваното решение Административен съд – София-град е отхвърлил жалбата на ПП "[ПП]" против решение № Р-943/16.10.2015 г. на Комисията за защита на личните данни.

С решение № Р-943/16.10.2015 г. Комисията за защита на личните данни е постановила следното:

1. Оставила е без уважение жалба рег. № Ж -268/17.04.2014 г. на К. Х. Ш., жалба рег. № Ж-340/22.04.2014 г. на С. А. С., жалба рег. № Ж-400/23.04.2014 г. на К. И. Т., жалба рег. № 607/29.04.2014 г. на В. Д. Б. и жалба рег. № Ж-526/25.04.2014 г. на Я. П. И., подадени срещу ПП [ПП] като неоснователни.

2. Обявила е жалба рег. № Ж-271/17.04.2014 г. на С. О. О., жалба рег. № 573/28.04.2014 г. на В. К. И. и жалба рег. № Ж-435/23.04.2014 г. на С. Е. А., подадени срещу ПП [ПП] за основателни.

3. На основание чл. 42, ал. 9 от Закона за защита на личните данни е наложила на ПП [ПП] административно наказание – имуществена санкция в размер на 500 лв.

Решението в частта по т. 1 не е обжалвано и е влязло в сила. Предмет на оспорване пред първоинстанционния съд е решението на комисията в частта по т. 2 и 3.

Съдът вярно е установил фактическите обстоятелства по спора и е достигнал до правно издържан краен извод за законосъобразност на обжалвания административен акт.

Административното производство е образувано по повод подадени жалби от физическите лица, посочени по-горе, до Комисията за защита на лични данни за това, че след направена справка на интернет – страницата на Централната избирателна комисия са установили, че личните им данни са включени в списъка на лицата, подкрепящи регистрацията на ПП [ПП] за участие в проведените през 2014 г. избори за членове на Европейски парламент от Република България, като декларират, че не са се подписвали в подкрепа на тази партия и не са давали съгласие за използване на личните им данни. Комисията е извършила проверка на изложените обстоятелства и въз основа на събраните в хода на административното производство писмени доказателства и приетото експертно заключение относно истинността на подписите на жалбоподателите, представили сравнителен материал, в списъците на лицата, подкрепящи регистрацията на политическата партия, е приела, че по отношение на лицата, посочени в т. 2 от оспореното решение е налице неправомерно обработване на личните им данни.

Съдът е възприел изцяло фактически обстоятелства като точно установени и счел, че сочат на обоснован извод за нарушение при обработване на личните данни на лицата. Съдът правилно е подвел релевантните факти към относимите правни хипотези на Закона за защита на личните данни. Обосновано е счел, че жалбоподателят, в качеството си на администратор на лични данни, не е спазил изискванията на чл. 23, ал. 1 и 2 ЗЗЛД, съгласно който администраторът на лични данни предприема необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване и взема специални мерки за защита, когато обработването включва предаване на данните по електронен път. Администраторът на лични данни определя срокове за провеждане на периодични прегледи относно необходимостта от обработване на данните, както и за заличаване на личните данни. Действително, в мотивите си съдът неточно е посочил като нарушение публикуването на личните данни на лицата С. О. О., В. К. И. и С. Е. А. на интернет – страницата на Централната избирателна комисия без да бъдат анонимизирани, т. к. не са приети необходимите технически и организационни мерки за защитата им от страна на ПП [ПП], доколкото анонимизирането на данните на лицата при публикуване на списъците по чл. 133, ал. 3, т. 5 от Изборния кодекс не е предмет на обсъждане в решението на Комисията за защита на личните данни. Това обстоятелство обаче не обуславя извод за неправилност на крайния извод на съда за липса на основания по чл. 146, т. 1 – 5 АПК за отмяна на обжалвания административен акт.

Неоснователни са доводите в касационната жалба, че изобщо не е ясно какво нарушение на правилата за обработване на личните данни е вменено на политическата партия, не е посочено от комисията какви точно мерки от организационен и технически характер е следвало да предприеме, а не е предприела, че не са изяснени фактическите обстоятелства, при които е извършено нарушението, за което е санкционирана и съответно – за незаконосъобразно налагане на имуществена санкция на основание чл. 42, ал. 9 ЗЗЛД, които доводи са релевирани и пред първата инстанция и според касатора са отхвърлени безкритично или са останали необсъдени от съда.

Спорният предмет по делото е изяснен от фактическа и правна страна. Съдът правилно е посочил, че според доказателствения материал по делото, личните данни на лицата в обем - три имена, единен граждански номер и подпис, са обработени без да е налице тяхното съгласие и при отсъствие на условията по чл. 4, ал. 1 ЗЗЛД, които допускат обработване на лични данни без лицето да е дало своето изрично съгласие. По определение от § 1, т. 13 ДР на ЗЗЛД, съгласие на физическото лице е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят данните, недвусмислено се съгласява те да бъдат обработвани. При включване в списък, подкрепящ регистрацията на политическа партия за участие в изборен процес, за да бъде законосъобразно обработването на личните данни на лицата е необходимо тяхното съгласие. По делото категорично е установено, че жалбоподателите пред комисията С. О. О., В. К. И. и С. Е. А. не са се подписали в подписка в подкрепа на политическата партия и правилно е прието, че липсва съгласие за обработване на личните им данни. След като именно касационният жалбоподател е внесъл в Централната избирателна комисия списъците с данните на физическите лица, изразили подкрепа за неговата регистрация и участие в предстоящите тогава избори, събрани от негово име, и същият е администратор на лични данни, съдът правилно е приел за законосъобразен извода на комисията, че е адресат на задължението по чл. 23, ал. 1 и 2 ЗЗЛД. В закона не е посочено какви по своя характер и интензитет да бъдат мерките, които администраторът на лични данни е длъжен да приеме, за да обезпечи защитата на личните данни на лицата, но във всички случаи те следва да гарантират недопускане на неправомерен достъп или разпространение на лични данни на физическите лица. При положение, че казусът се отнася до включване в подписка, като част от изборните книжа, в която гражданите фигурират с три имена, единен граждански номер и подпис, очаквано е администраторът на лични данни да инструктира лицата, на които е възложил действията по попълване на списъка, за начина и методите по които да работят, така че да гарантират достоверност на данните в тях и особено – на действително получено съгласие на физическите лица да бъдат обработвани личните им данни. В конкретния случай тези законови изисквания не са спазени. Неоснователно е възражението, че съдът не е посочил вида на мерките, които е следвало да изпълни, а не е изпълнил при обработването на личните данни на лицата. В нормативната уредба е регламентирано само минималното ниво на технически и организационни мерки, както и допустимия вид защита - Наредба № 1 от 30.01.2013 г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни, издадена от Комисията за защита на личните данни, като законодателят е възложил на всеки администратор на лични данни, с оглед спецификата на работата, да организира дейността си по начин, който не допуска неправомерно обработване на лични данни. В този контекст, съдът не разполага с възможност да оценява дали предприетите мерки от администратора на лични данни са подходящи, контролът за законосъобразност се простира до проверка дали са спазени законовите изисквания и условия за обработване на личните данни на физическите лица. Трябва да се отбележи, че в резултат на извършената проверка от Комисията за защита на личните данни и по указание на проверяващия екип, ПП [ПП] е изготвила актуална Инструкция за мерките и средствата за защита на личните данни, утвърдена на 25.07.2014 г., която комисията е оценила положително в светлината на нормативните разпоредби за защита на личните данни в констативен акт рег. № КА-446/01.09.2014 година.

Неоснователни са релевираните оплаквания в касационната жалба по отношение на определената санкция на ПП [ПП]. В чл. 42, ал. 9 ЗЗЛД е предвидено, че при констатирани други нарушения на законовите правила, извън изрично изброените в ал. 1 – 8 на чл. 42 ЗЗЛД, виновните лица се наказват с глоба или имуществена санкция от 500 до 5000 лв. В случая, Комисията е приела, с оглед тежестта на нарушението по чл. 23, ал. 1 и 2 ЗЗЛД и целите на административната санкция да въздейства възпитателно и превантивно, че следва да определи имуществена санкция в минималния размер, предвиден в разпоредбата – 500 лв. Противно на твърдяното в касационната жалба, съдът е обсъдил доводите на жалбоподателя относно приложението на чл. 28, б. "а" от Закона за административните нарушения и наказания, съгласно който за маловажни случаи на административни нарушения наказващият орган може да не наложи наказание, като предупреди нарушителя, устно или писмено, че при повторно извършване на нарушение ще му бъде наложено административно наказание, и правилно е приел, че не са налице основания за прилагането на цитираното правило. Преценка дали допуснатото административно нарушение съставлява маловажен случай по см. на чл. 28, б. "а" ЗАНН се прави по законосъобразност - ТР № 1 от 12.12.2007 г. по т. н. д. № 1/2007 г. на ОСНК на ВКС, с оглед на засегнатите от деянието обществени отношения, липсата или незначителността на причинените в резултат на деянието общественоопасни последици, причините и условията, мотивирали извършителя да пристъпи към осъществяване на деянието, наличието или липсата на данни за други извършени нарушения, без значение дали нарушението е резултатно или формално. В случая, нарушението по чл. 23, ал. 1 и 2 ЗЗЛД е формално, но с оглед значимостта на охраняваните със Закона за защита на личните данни обществени отношения – правото на неприкосновеност на личността и личния живот на гражданите чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните, съдът правилно е приел, че признаците на извършеното административно нарушение не сочат на маловажност по смисъла на чл. 28, б. "а" ЗАНН.

Предвид изложеното, не са налице касационни основания по чл. 209, т. 3 АПК за отмяна на обжалваното решение, поради което същото следва да се остави в сила.

Водим от горното, Върховният административен съд, пето отделение,