Решение № 9241 от 20.10.2022 г. на ВАС, V о.

Производството е по чл.208 и слр. от АПК.

Образувано е по касационната жалба на Изпълнителния директор на Агенцията по вписванията срещу решение 592/ 29.11.2021 г. по адм.д. 874/ 2020 г. по описа на Административен съд- Хасково. Навежда довод за недопустимост поради липсата на предмет, неправилност поради съществено нарушение на съдопроизводствените правила и материална незаконосъобразност. Твърди, че оспореното писмо е с уведомителен характер, Предвид ТР 2/ 2015 г. по т.д. 282014 г. на ОСГТК на ВКС регистърното производство е охранително и не приключва с издаване на административен акт Търговският регистър и регистъра на ЮЛНЦ представлява обща електронна база данни като е налице нормативно задължение, заявлението, актовете и документите, въз основа на които да се извършва вписването в ТР, да се публикуват в партидата на търговското дружество. Въведено е изключение с чл. 2, ал. 2 от ЗТТЮЛНЦ спрямо чл. 4, т.1 от Регламент 2016/ 679 за защита на лични данни на физически лица, за които има законово задължение за обявяване в ТР. Обемът на личните данни, които се предоставят от субектите на данни, респективно се обработват от АВ е законово установен и се обработват законосъобразно- чл.6 от Общия регламент. АВ няма задължение да иска съгласие от субекта на лични данни при представяне на документ с незаличени лични данни. Дружественият договор се пренася във формат, подлежащ на автоматизирана обработка чрез сканиране на документа, като по електронната партида се появява електронния образ на акта. Ако предварително се изготви и представи препис от акта със заличени данни, в електронната партида се обявява преписа със заличени данни. Проверката по чл. 21 от ЗТРРЮЛНЦ не вклюва проверка дали в подлежащия на обявяване акт има лични данни в повече от необходимото. В регистърното производство субектът на лични данни /физически лица/ не променя своето качество. Жалбоподателят въобще не е правил разлика между лични данни, които се изискват по закон и такива, които не се изискват по закон, поради което прави искане за заличаване на всички данни в разрез с чл. 115 от ТЗ. АВ само снема електронен образ на представения пред нея акт в изпълнение на задължение да обяви акт на електронната партида на жалбоподателя. Правото на изтриване по чл. 17 от Регламента не е абсолютно и безусловно. На страната не са дадени указания за обстоятелства по чл. 17, пар.1 от Регламента. Правото на изтриване по Общия регламент не може да намери приложение по отношение на данни на физически лица, които се съдържат в обявени в актове по електронната партида на съответния търговец /ЮЛНЦ, извън предвидената в самото регистърно производство възможност за допълнително представяне на заверен препис със заличени данни.

Ответната страна Т. Цонев оспорва касационната жалба като неоснователна. Твърди, че делото има предмет и това е акт на администратор на лични данни по чл.79 от Регламент 2016/ 679/ вр. с чл. 39, ал. 1 от ЗЗЛД. Търговският регистър обработва лични данни. Оповестяването на лични данни като ЕГН, номер на лична карта, дата на издаването й, адрес и подпис противоречи на изводите в т. 58 от решението по C-398/15 на СЕС. Позоваването на чл.13, ал. 9 от ЗТРРЮЛНЦ е незаконосъобразно, защото противоречи на Регламент 2016/679, предвид и решение по дело С-19/2019 на СЕС, в което е посочено, че администраторът на лични данни доказва, че субектът на лични данни с активното си поведение е дало съгласието си за обработването им. Само представянето на копие от дружествения договор не доказва съгласие за обработване на лични данни. Налице е оттеглено съгласие, предвид и раздел 6 от Насоките относно съгласието в съответствие с Регламент 2016/ 679. С чл. 2, ал. 2 от ЗТРРЮЛНЦ е вменено задължение на АВ да обявява актовете по ал.1 без информацията, представляваща лични данни по смисъла на чл.4, пар.1 от Регламент 2016/ 679. С чл. 115, т. 3 и чл. 119, ал. 1, т. 1 и ал. 2 от ТЗ са посочени данните, които задължително трябва да бъдат обявени/публикувани. Законът изисква да бъдат обявени само имената на съдружниците, поради което и в изпълнение на Регламент 2016/679 е приета разпоредбата на чл. 2, ал. 2 от ЗТРРЮЛНЦ. Самата АВ е публикувала Политики за защита на лични данни, в които е посочила реда, начина за упражняване на правата по Регламента, като формата е подаване на заявление, а не чрез представяне на нов акт със заличени лични данни. Подадено е заявление по чл. 17 от Регламента. Поддържа искането, направено пред първоинстанционния съд, за отправяне на преюдициално запитване с конкретно поставени пет въпроса .

Представителят на Върховната административна прокуратура дава заключение за неоснователност на касационната жалба. Намира за правилно отменителното решение на първоинстанционния съд, с което ИД на АВ е задължен да заличи личните данни в дружествения договор по реда на чл.17 от Регламент 2016/679. По отношение на личните данни на физическите лица АВ има качеството на администратор по чл.4, пар.7 от Регрламента.

Върховният административен съд, пето отделение, извърши служебна проверка на допустимостта на съдебното решение по чл. 218, ал.1 от АПК и намира същото за недопустимо.

Предмет на оспорване пред първоинстанционния съд е писмо изх. 66-00-517/ 20.08.2020 г. на Агенцията по вписване, подписано от изпълнителния директор като нейн законен представител, с което е отговорено по заявление от 4.08.2020 г. на Т. Цонев за изтриване на негови лични данни на основание чл. 17 от Регламент 2016/679, относящи се за него като съдружник физическо лице в "Джи Ди Пи Мениджмънт Консултинг" ООД, които лични данни -имена, ЕГН, номер на лична карта, дата на издаването й, дата на валидност, постоянен адрес, подпис, се съдържат в дружествен договор, обявен по електронната партида на търговското дружество в Търговския регистър и регистъра на ЮЛНЦ в изпълнение на чл. 5 от ТРРЮЛНЦ вр. с чл. 119, ал.1, т.1 от Търговския закон. В същото заявление субектът на лични данни оттегля съгласието си за обработване на личните му данни от АВ. В писмото е посочено, че учредителният акт на дружество с ограничена отговорност е сред актовете, които по чл.119 от ТЗ задължително се обявяват, като съдържанието на дружествения договор по чл. 115 от ТЗ изисква имената, съответно фирмата, и единния идентификационен код на съдружниците. Вписване, заличаване и обявяване се извършва само въз основа на заявление по чл. 13, ал. 1 от ЗТРРЮЛНЦ с приложени към него документи. За да бъдат обявени актовете, какъвто е дружественият договор, се извършва пренасяне на информацията във формат, подлежащ на автоматизирано обработване чрез сканиране на документи, а в електронната партида се обявява образа на сканирания документ, представен в регистърното производсство. При представяне на акт със заличени лични данни по чл. 13, ал. 6 от ЗТРРЮЛНЦ /без подлежащите на обявяване лични данни/ се обявява представения препис. Липсва законова разпоредба, която да задължава АВ да извършва каквито и да било действия по заличаване, изтриване или обезличаване на данни и обстоятелства, съдържащи се в подлежащите на обявяване актове. Тъй като търговското дружество не представя заверен препис със заличени лични данни, освен тези, които се изискват по закон, АВ е извършила законосъобразно обработване на лични данни по чл. 6, пар.1, б. "в" от Регламента, поради което липсва основание по чл. 17 от Общия регламент за изтриване на лични данни. Правото на изтриване не е абсолютно право и може да бъде реализирано само при определени в Регламента условия. Още повече, че АВ изпълнява правно задължение по смисъла на чл. 17, пар. 3 , б. "б" от Регламента. С тези мотиви АВ е отказала да уважи заявлението по чл.17 от Регламента.

С определение от 18.11.2020 г. съдебното производство е прекратено и е оставена без разглеждане жалба против писмо 66-00-517/ 20.08.2020 г. на Изпълнителния директор на АВ. С определение 9205/ 17.08.2021 г. по адм.д. 13391/2020 г. по описа на ВАС, пето отделение, прекратителното определение е отменено, а делото върнато за продължаване на съдопроизводствените действия.

С разпореждането от 24.08.2021 г. - л. 134, съдът е конституирал на ответната изпълнителният директор на Агенцията по вписване и същият е призоваван по делото, представляван е от процесуален представител с пълномощно и за ИД и за АВ като юридическо лице- л. 154. В съдебно решение 592/ 29.11.2021 г. по описа на АС-Хасково първоинстанционният съд е посочил изрично, че ответникът е ИД на АВ, но развива правни съображения относно Агенцията по вписване като администратор на лични данни и незаконосъобразността на отказа за заличаване/изтриване на лични данни по чл.17 , пар.1, б."б" и б."г" от Регламент 2016/ 679 в обявения дружествен договор на "Джи Ди Пи Мениджмънт Консултинг" ООД. Съдът в решението посочва, че разпоредбата на чл.13, ал. 9 от ЗТРРЮЛНЦ, която въвежда презумпция за дадено съгласие за обработване на лични данни противоречи на чл. 7, т. 1 от Регламента, защото АВ не може да изпълни задължението си да докаже, че субектът на лични данни е дал съгласие за обработването им. Развити са мотиви, че отказът на АВ противоречи на чл. 7, т. 3, пр. 1 и чл. 17, т.1, б. "б", пр.1 от Регламента, тъй като е предвидена правна възможност на субекта на данни да оттегли съгласието си по всяко време и да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне. Администраторът на лични данни е задължен да ги изтрие без ненужно забавяне. С диспозитива на решението е отменено писмо на Агенцията по вписванията, а преписката по заявление вх. 66-00-517/ 4.08.2020 г. на Т. Цонев е изпратено на Агенцията по вписване за изтриване на лични данни /всички/, съдържащи се в публикувания дружествен договор на "Джи Ди Пи Мениджмънт Консултинг" ООД.

Касационната жалба е подадена от името на Агенцията по вписване, с направено уточнение по-късно, че е от името на ИД на АВ.

Решението е недопустимо поради неправилно конституиране на страните в съдебното производство. Първоначалната жалба е насочена срещу изричен отказ на администратор на лични данни да уважи заявление по чл. 17 от Регламент /ЕС/ 2016/976 на ЕП и Съвета от 27.04.2016 г. / Регламента/ за изтриване на лични данни, които се отнасят до Т. Цонев, съдружник в "Джи Ди Пи Мениджмънт Консултинг" ООД и са публикувани в търговския регистър с дружествения договор на търговското дружество, а именно: имена, ЕГН, номер на лична карта, дата на издаването й, дата на валидността й , постоянен адрес, подпис.

Агенцията по вписване, а не изпълнителният директор е администратор на лични данни. Постановеният отказ в качество на администратор на лични данни да уважи заявление за изтриване на лични данни, е оспорен по реда на чл. 39, ал.1 от ЗЗЛД. Делото има предмет и доводът, че уведомителното писмо не е годен за оспорване пред съда акт е неоснователен. В същия смисъл и определение 9205/ 17.08.2021 г. по адм.д. 13391/2020 г. по описа на ВАС, пето отделение, с което вече е отменено прекратително определение на първоинстанционния съд.

Съгласно чл. 4, пар.7 от Регламента "администратор" на лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. "Обработване" на лични данни по определението на чл. 4, пар. 2 от Регламента означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Агенцията за вписване, съгласно чл. 3 и чл. 11 от ЗТРРЮЛНЦ води, съхранява, осигурява автоматизирано подаване на информация за вписаните търговци, клонове на чуждестранни търговци, юридически лица с нестопанска цел и клоновете на чуждестранни юридически лица с нестопанска цел и свързаните с тях обстоятелства и обявените актове в търговския регистър и в регистъра на юридическите лица с нестопанска цел, на Националната агенция за приходите, както и на други субекти, определени със закон, осигурява свободен и безплатен достъп до базата данни, съставляваща регистрите, осигурява регистриран достъп до делото на търговеца или на юридическото лице с нестопанска цел. Следователно АВ попада в определението за администратор на лични данни по смисъла на чл. 4, пар.7 от Регламент 2016/679, независимо от това, че получава актовете и данните от друго лице - заявител по чл. 15 от ЗТРРЮЛНЦ. С решение от 13.03.2017 г. по дело СЕС С-398/ 2015, Camera di Commersio Industria, Artigianato e Agricoitura di Lecce v Salvatfre Manni, съдът посочва, че органът, който поддържа регистъра на дружествата е "администратор" и извършва обработка на лични данни, като преписва и съхранява тази информация в регистъра и я съобщава, когато е уместно, при поискване на трети лица / т. 31 и 35 от решението/, като Директива 95/46 ( Директива за защита на личните данни), приложима за казуса, се прилага при обработване на данни от публичен орган, който води регистър на търговските дружества.

След като Агенцията по вписване е сезирана в качеството й на администратор на лични данни и е постановила отказ по заявление по чл.17 от Регламента, с подаването на жалба до съда по чл. 39, ал.1 от ЗЗЛД, тя придобива качеството на ответник в съдебното производство. За съда е възникнало задължение по чл. 153, ал.1 от АПК да конституира по делото на ответната страна Агенцията по вписване, а не изпълнителния директор, който не е администратор на лични данни в търговския регистър. В случая по делото е конституиран и призоваван като ответник изпълнителният директор, което нарушение на съдопроизводствените правила води до недопустимост на постановения съдебен акт. Първоинстанционното съдебно решение следва да бъде обезсилено, а делото върнато за ново разглеждане след правилно конституиране на страните по делото.

Предвид значимостта на правния проблем, който е поставен за разглеждане пред съда, касационната инстанция намира за необходимо да укаже при новото разглеждане на делото и при обсъждане на направените от страните доводи, съдът да вземе предвид следното:

Съгласно чл. 1 от Директива 68/151 за съгласуване на гаранциите, които държавите- членки изискват от дружествата по смисъла на чл. 58 от Договора, за защита на интересите на съдружниците и на трети лица, с цел тези гаранции да станат равностойни на цялата територия на Общността, мерките за координиране, предписани от директивата, се прилагат относно законовите, подзаконовите и административни разпоредби на държавите членки, свързани с изброените в тази разпоредба търговски дружества, сред които за Република България са акционерното дружество, дружеството с ограничена отговорност и командитното дружество с акции. Държавите членки, съгласно чл. 2 от Директива 68/151, са длъжни да предприемат нужните мерки, за да гарантират задължителното оповестяване от дружествата най-малко на следните документи и данни: назначаване, прекратяване на мандата и данни за лицата, които в качеството си на орган, създаден в съответствие със закона, или като членове на такъв орган, са упълномощени да представляват дружеството при сделки с трети лица и в съдебни процедури, участват в управлението, надзора или контрола на дружеството, изрично посочени. Съгласно чл. 3 от Директива 68/151, всяка държава- членка открива дело в централен регистър, търговски регистър или дружествен регистър за всяко дружество, регистрирано там. Всички документи и данни, които подлежат на оповестяване в съответствие с чл. 2, се пазят по делото или се вписват в регистъра.

Директива 68/151 е отменена и заменена с Директива 2009/101/ЕО на ЕП и Съвета от 16.09.2009 г. за координиране на гаранциите, които държавите членки изискват от дружествата по смисъла на член 48, втора алинея от Договора, за защита на интересите на трети лица и с цел тези гаранции да станат равностойни в отделните държави-членки. Разпоредбата на чл. 2 от Директива 2009/101/ЕО на ЕП и Съвета / Директивата/, възпроизвежда чл. 2 от Директива 68/151.

Принципът за оповестяване и запазване на данни и актове в регистъра е последователно проведен в посочените директиви и не е обвързан с даване на съгласие от лицата, чиито лични данни подлежат на оповестяване.

Системата за регистрация има отношение към фактите, които съществуват към момента на регистрацията, но обхваща и всички последващи промени, които засягат търговското дружество. Това е система, основана на механизъм, който не предвижда окончателно премахване на първоначалните данни, дори когато последващите записани данни се променят или правят предишните остарели. Съгласно чл.1 от ЗТРРЮЛНЦ законът урежда регистрацията, воденето, съхраняването и достъпа до търговския регистър и до регистъра на юридическите лица с нестопанска цел, както и действието на вписванията, заличаванията и обявяванията в тях, като първият принцип, на който се осъществява регистрацията, воденето, съхраняването и достъпът до търговския регистър и регистъра на юридическите лица с нестопанска цел, това е принципът на публичност. Именно Агенцията по вписване към министъра на правосъдието е държавната структура, която по силата на чл. 3 от ЗТРРЮЛНЦ води търговския регистър и регистър на ЮЛНЦ, осигурява автоматизирано подаване на информация за вписаните търговци, клонове на чуждестранни търговци, юридически лица с нестопанска цел и клоновете на чуждестранни юридически лица с нестопанска цел и свързаните с тях обстоятелства и обявените актове в търговския регистър и в регистъра на юридическите лица с нестопанска цел, на Националната агенция за приходите, както и на други субекти, определени със закон. Всеки търговец е длъжен да поиска да бъдат вписани в търговския регистър, подлежащите на вписване обстоятелства и да представи подлежащите на обявяване актове, изчерпателно посочени в Търговския закон. За търговско дружество с ограничена отговорност данните и актовете, които подлежат на вписване са изброени в чл. 119 от ТЗ, сред които данните по чл. 115, т. 3 - името, фирмата и идентификационния код на съдружниците. Директива 2009/101/ЕО на ЕП и Съвета от 16.09.2009 г. съдържа изискване само към минимума информация за търговското дружество, която задължително и публично се оповестява и няма забрана за друг вид актове и данни, извън изброените в чл. 2 от Директивата, които националните законодателства могат да предвидят за задължително оповестяване.

Макар посочените данни да са представени на търговския регистър в професионален контекст, информацията по отношение на съдружника има характер на лични данни по смисъла на Регламент 2016/679.

И тук възниква въпросът за баланса на интереси между правото на защита на лични данни, уреден в чл.16 от ДФЕС и задължението на държавите-членки за оповестяване и запазване на данни и актове в регистър на дружествата, според Директивата. Държавите- членки са длъжни чрез оповестяване на определен вид информация да осигурят правната сигурност на отношенията между търговските дружества и третите лица с цел засилване на търговията между държавите- членки чрез създаване на вътрешен пазар. Всеки, без да е необходимо да обосновава наличието на право или интерес, трябва да може да се запознае с данните относно учредяването на търговските дружества, правомощията на лицата, на които е възложено да ги представляват, и всички релевантни данни да се съдържат и оповестяват в регистър (Решениe от 12.11.1974 г., Haaga, 32/74, EU: C : 1974: 116, т. 6). Според Директивата в регистър се оповестява информация за лицата, участващи в представителството, управлението, надзора и контрола на всички вписвани в регистър търговски дружества, а според нашето национално законодателство и за съдружниците.

Освен обаче принципа за запазване на данните в регистър, съществуват и гарантирани от Регламент 2016/679 право на изтриване на лични данни, право на коригиране, право на ограничаване на обработването и право на възражение.

В първоинстанционното съдебно решение, с което е отменен отказ за заличаване на лични данни в дружествения договор на дружество с ограничена отговорност, съдът няма развити съображения дали АВ законосъобразно е обработвала лични данни, предвид Директивата, Регламента и националото законодателство. Разпоредбата на чл.119 от ТЗ задължава АВ да оповестява данни за лица, които не са сред органите за управление, контрол, надзор на търговското дружество. Съдът е приел, че е достатъчно да има оттеглено съгласие, презумирано от националния закон като дадено в нарушение на Регламента, да е направено искане по чл.17 от Регламент 2016/679, за да възникне задължение за Агенцията по вписване като администратор на лични данни да заличи в търговския регистър всички лични данни на съдружника в публично оповестения дружествен договор.

Засега отговор на въпрос за необходим баланс между принципа за запазване на данните в търговския регистър и защитата на лични данни, дава само решението на СЕС от 9.03.2017 г., С-398/15, Camera di Commersio Industria, Artigianato e Agricoitura di Lecce v Salvatfre Manni, по преюдициално запитване на Corte suprema di cassazione/ Касационния съд на Италия/, в контекста на спора пред СЕС, което решение първоинстанционният съд не е имал предвид.

От посоченото решение на СЕС се налагат няколко извода:

1. Като публичен орган, който води търговски регистър, агенцията вписва и съхранява актове и лични данни, т.е. обработва лични данни.

1. Обработването на лични данни в регистъра на дружествата трябва да е съобразено с Регламент 2016/679 (преди Директива 95/46), т.е. да е законосъобразно, като личните данни трябва да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани и обработени (т.41 и т. 45 от решението).

1. Директивата налага оповестяването и запазването на минимален брой лични данни, а именно данните относно самоличността и съответните функции на лицата, които са упълномощени да представляват съответното дружество, да участват в управлението, надзора и контрола, или са назначени за ликвидатори (т. 58 от решението).

1. Обосновано е физическите лица, които избират да участват в икономическия обмен посредством дружество, да бъдат задължени да оповестяват данни във връзка със самоличността си и функциите си в това дружество, като са били наясно с това си задължение в момента, в който вземат решение да се заемат с такава дейност (т.59).

1. Физическо лице, което иска да ограничи достъп до личните си данни, публикувани в регистър на дружествата, няма право да получи изтриване на тези данни, дори след като търговското дружество е престанало да съществува.

Съдът дължи при новото разглеждане на делото да развие правни съображения за баланса между принципа за запазване на данни и правото на изтриване на лични данни в контекста на казуса за оповестени по чл. 119, ал. 2 от ТЗ в търговския регистър лични данни на съдружник в търговско дружество с ограничена отговорност, което не е заличено. Правото на изтриване на лични данни, уредено в чл.17 от Регламента, може да бъде уважено само при наличие на някое от посочените в регламента основания.

Физическото лице, субект на данни, има и право на ограничаване на обработването по чл. 18 от Регламента с възражение по всяко време, въз основа на неопровержими законови основания, свързани с неговото конкретно положение, срещу обработване на отнасящи се до него данни, освен ако националното законодателство предвижда друго (т.47 от решението).

Правните изводи на съда в оспореното решение, че е достатъчно оттеглянето на съгласие, презумирано от чл. 13, ал. 9 от ЗТРРЮЛНЦ като дадено, за да възникне задължение за администратор, обработващ лични данни в търговския регистър да заличи без ненужно забавяне всички лични данни на заявителя, независимо от тяхното качество, не са съобразени с националното ни законодателство, Директивата и решението на СЕС по С-398/15. Не е обсъден довод на Агенцията по вписване кои лични данни на Т. Цонев са предвидени от националното законодателство за задължително публично оповестяване и кои от тях не попадат в този вид лични данни. Дали, и за кои от тези лични данни може да се упражни правото по чл.17 от Регламент 2016/679 или правото на ограничаване на обработването по смисъла на чл. 18 от Регламент 2016/679, всяко от които се уважава при наличие на изрично посочени основания.

Тъй като решението се обезсилва на процесуално основание, настоящата съдебна инстанция не решава делото по същество, поради което не следва да се прознесе по искането за преюдициално запитване и по исканията за разноски. По това искане следва да се произнесе съдът, който решава делото по същество при правилно конституирани страни.

Предвид изложеното и на основание чл. 221 ал. 3 от АПК, Върховният административен съд, пето отделение