Решение № 8551 от 21.8.2025 г. на ВАС по адм. д. № 2504/2025 г.

Производството е по реда на чл. 208 и сл. АПК. Образувано е по касационна жалба, подадена от Агенция по заетостта, представлявана от С. Вълов, в качеството му на изпълнителен директор, чрез процесуален представител Е. Младенова, срещу решение 24508 от 22.11.2024 г., постановено по адм. дело 8054/2024 г. от Административен съд София-град. В жалбата се излагат съображения за неправилност на обжалвания акт поради постановяването му в нарушение на материалния закон, при допуснати съществени нарушения на съдопроизводствените правила и необоснованост касационни отменителни основания по смисъла на чл. 209 АПК. Иска се неговата отмяна и решаване на спора по същество. Претендира се присъждане на юрисконсултско възнаграждение. Ответната страна Комисията за защита на личните данни, чрез пълномощника си А. Янчев, в писмен отговор мотивира доводите си за неоснователност на касационната жалба. Моли обжалваното решение, като правилно, да бъде оставено в сила и претендира присъждане на понесените по делото разноски пред настоящата инстанция. Прави възражение по смисъла на чл. 78, ал. 5 ГПК вр. чл. 144 АПК досежно претенцията за разноски на касатора. Процесуалният представител на Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, като взе предвид становищата на страните и доказателствата по делото, намери за установено следното: Касационната жалба е подадена в законоустановения срок, от надлежна страна и е процесуално допустима. Разгледана по същество е неоснователна по следните съображения: С обжалваното съдебно решение е отхвърлена, като неоснователна, жалбата на Агенцията по заетостта /АЗ/, представлявана от изпълнителния директор, срещу решение ПАИКД-13-2/2024 от 24.07.2024 г. на Комисията за защита на личните данни, с което на осн. чл. 58, § 2, б. и от Регламент /ЕС/ 2016/679 й е наложена, в качеството на администратор на лични данни, имуществена санкция в размер на 100 000 лева, от които: 25 000 лв. на осн. чл. 83, § 4, б. а за нарушение на чл. 33, § 1 от Регламента и 75 000 лв. на осн. чл. 83, § 4, б. а за нарушение на чл. 32, § 1, б. б и чл. 32, § 2 от Регламент /ЕС/ 2016/679 и на осн. чл. 83, § 5, б. а за нарушение на чл. 5, § 2 вр. чл. 33, § 5 от Регламент /ЕС/ 2016/679. Административният съд е приел, че оспореното пред него решение е издадено от компетентен орган, в предписаната от закона писмена форма с изискуемото от чл. 59, ал. 2,т. 4 съдържание, постановено е при спазване на административнопроизводствените правила и при правилно тълкуване и прилагане на материалния закон. Така постановеното решение е валидно, допустимо и правилно, постановено е от законен състав след надлежно сезиране с процесуално допустима жалба против подлежащ на оспорване акт. При правилно установена фактическа обстановка първоинстанционният съд е обосновал законосъобразни правни изводи. В съответствие със събраните по делото доказателства АССГ е приел за доказано, че оспореното пред него решение е издадено от компетентен орган. В съответствие със съдържанието на атакувания пред първата инстанция акт е мотивиран извод за спазване на изискването за форма, а от доказателствата, представляващи административната преписка, се аргументира и спазване на административнопроизводствените правила. На практика страните по делото не спорят относно релевантните факти, а относно тяхното правно значение и последици. Първоинстанционният съд е формирал обосновани изводи, които се споделят напълно от настоящия съдебен състав и към които той препраща на осн. чл. 221, ал. 2 АПК без да е необходимо да ги повтаря. Въз основа на установените по делото факти административният съд е приложил правилно материалния закон. Доводите на касационния жалбоподател за необоснованост на обжалваното решение и неправилно приложение на закона са неоснователни. В решението е налице изложение относно установените по делото фактически положения, релевантни за спора. АССГ е приел всички доказателства, представляващи административната преписка и въз основа на тях е осъществил проверка по чл. 168 АПК на всички основания за отмяна на атакуваното пред него решение на КЗЛД, издадено именно въз основа на тези доказателства. Въз основа на установената фактическа обстановка административният съд е извел единствено правилния извод за законосъобразност на оспорения пред него административен акт. Неоснователни са доводите за допуснати съществени нарушения на съдопроизводствените правила. Правото на участие на страната в съдебното производство не е нарушено, дадени са необходимите указания и правилно е разпределена доказателствената тежест. Неоснователно е оплакването, че решението е необосновано. След като е установил фактическата обстановка по делото съдът е направил подробен анализ на приложените и относимите доказателства както в тяхната взаимна връзка, така и във връзка с възраженията на страните. Дал е отговор на всички възражения и е обосновал правните си изводи на всички основания по чл. 146 АПК. Решението е мотивирано в съответствие с правилата на чл. 172а АПК. Не се оспорва, че касаторът е юридическо лице, публичен орган и администратор на лични данни, който събира, съхранява и обработва лични данни. Не е спорно също, че на 22.01.2023 г. сървърите на Агенцията са били атакувани и при тази кибератака почти 100 % от компютрите са били засегнати от вирус, както и деловодната система, всички сървъри и виртуална среда са с криптирани файлове. Криптирани са били файловете на 18 300 служители, 4 731 кандидати за работа, 157 980 потребители, чиито лични данни се обработват и съхраняват в ИС НБД, както и личните данни на 56 000 чужди граждани, обработвани в регистър Трудова миграция с адрес, паспортни данни, месторождение, телефон, семейно положение, произход и др. Безспорно е доказано също, АЗ е действала в нарушение на изискването на чл. 33, § 1 ОРЗД за уведомяване на надзорния орган в срок не по-късно от 72 часа след откриване на нарушението или излагане на причините за забавянето след този срок. За това си незаконосъобразно бездействие правилно е санкционирана с имуществена санкция, както е приел решаващия съд. Обосновано също е приетото от решаващия съд, че в случая АЗ не е предприела подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с ОРЗД и че тези мерки периодично се преразглеждат и актуализират при необходимост в съответствие с чл. 24 от Регламента. Администраторът следва да оцени рисковете, свързани с обработването, и да предприеме мерки за ограничаването на тези рискове, напр. криптиране, което в случая не е направено. И на последно място АЗ не оспорва факта, че не е изпълнила задълженията по изискването на чл. 33, § 5 от регламента да документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението на сигурността на личните данни, последиците от него и предприетите действия за справяне, за да даде възможност на надзорния орган да провери дали е спазен този член на ОРЗД. Неоснователно и ненамиращо опора в закона е даденото от касатора тълкуване за персонална отговорност на изпълнителния директор на АЗ. Администратор на лични данни е Агенцията, а не нейният представител. При липса на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение като валидно, допустимо и правилно следва да бъде оставено в сила. При този изход на правния спор претенцията на процесуалния представител на КЗЛД за присъждане на понесените по делото разноски е основателна и следва да бъде уважена, като касаторът бъде осъден да заплати сумата от 100 лв., представляваща разноски по делото пред настоящата съдебна инстанция. Воден от горното и на основание чл. 221, ал. 2, изр. 1-во, предл. 1-во АПК Върховният административен съд, Пето отделение