Решение № 4552 от 9.04.2021 г. на ВАС по адм. д. № 1035/2021 г.

Решение № 4552 от 9.04.2021 г. на ВАС по адм. д. № 1035/2021 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД (наименованието на касационния жалбоподател е уточнено с молба от 20.11.2020 г.) срещу Решение № 5532/16.10.2020 г. на Административен съд София-град (АССГ) постановено по адм. дело № 3246/2020 г. С обжалваното решение е отхвърлена жалбата на "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД срещу Решение № ППН-01-571/2019 от 19.02.2019 г. на Комисията за защита на личните данни (КЗЛД, Комисията) и "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД е осъдено да заплати разноски по делото. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът е допуснал съществено процесуално нарушение, което е нарушило правото му на защита, тъй като не е отчетена необходимостта от спиране на административното производство до постановяване на окончателен акт по образуваното наказателно производство, като в тази връзка е имало изрично искане от дружеството. Твърди, че и Комисията е следвало да спре производството пред нея на основание чл. 54, ал. 1, т. 3 АПК. Като нарушение допуснато от съда се сочи и, че той е приел за безспорни определени факти, без да събира каквито и да е доказателства. Сочи, че съдът неправилно е възприел определени факти и това възприемане на отговаря на събраните доказателства, а правните изводи не кореспондират на реално доказаните факти, поради което решението е необосновано. Излага подробни съображения, че не са събрани доказателства, че личните данни на г-жа Б. са обработени без правно основание, както и че случаят, за който е наложена санкция, е свързан с криминален казус. Твърди, че личните данни на лицето са обработени законосъобразно и че са предприети всички необходими мерки за опазване на личните данни. Сочи, че съдът необосновано е потвърдил наложената на дружеството санкция, без да е налице извършено нарушение, с което е нарушена целта на закона. Сочи, че е налице противоречие с материалноправните разпоредби, в това число и при избор на приложимия закон. В решението на съда са потвърдени изложените в решението на КЗЛД аргументи за налагане на имуществена санкция, в съответствие с разпоредбите на Общия регламент за защита на данните, който е в сила от 25.05.2018 г., а датата на която се твърди, че е извършено нарушението е 05.06.2017 г. Излага съображения, че след като самата Комисия е приела, че нарушението е извършено преди да започне да се прилага Регламента, то приложимият материален закон е ЗЗЛД, в редакцията му към 05.06.2017 г. Твърди, че дружеството е въвело подходящи мерки съответстващи на идентифицирания риск и че от КЗЛД не са давани препоръки и указания. Сочи, че не е спазен принципът на прилагане на по-благоприятния закон, както и че съдът не е извършил преценка относно определената от Комисията санкция, тъй като последната не е мотивирала избора си за размер на същата. Моли обжалваното решение да се отмени и да се постанови ново, с което се отмени решението на КЗЛД, алтернативно делото да се върне за ново разглеждане. Претендира разноски. Счита, че претенцията на заинтересованата страна за присъждане на разноски не следва да се уважава. Представя Списък на разноските. В съдебно заседание излага съображения за уважаване на касационната жалба. Касационният жалбоподател се представлява от адв. К.. Ответникът по касация – Комисия за защита на личните данни оспорва касационната жалба по съображения изложени в съдебно заседание. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Прави възражение за прекомерност на адвокатския хонорар. Ответникът по касация се представлява от юрк. А.. Заинтересованата страна Н. Г. – Б. оспорва касационната жалба по съображения изложени в писмено становище. Моли обжалваното решение да се остави в сила. Претендира адвокатско възнаграждение. Заинтересованата страна се представлява от адв. Д.. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима. Подадена е в законоустановения срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна. По делото, въз основа на събраните доказателства, първоинстанционният съд е приел от фактическа страна следното: Административното производство е започнало по жалба на Н. Г. - Б. рег. № ППН-01-571/21.06.2019 г., в която е посочено, че без да е сключвала договор с "УНИКРЕДИТ БУЛБАНК" АД през месец май 2019 г. получила обаждане за дължими суми по договор за кредит с първоначален размер от 13 000 лв. Изложени са оплаквания за злоупотреба с личните й данни и, че са нарушение правата й по Закона за защита на личните данни (ЗЗЛД). От "УНИКРЕДИТ БУЛБАНК" АД е изискано становище, като с отговор вх. № ППН-01-571/3/07.08.2019 г. дружеството е посочило, че по открита на 28.05.2017 г. сметка на името на Н. Г. – Б., на 05.06.2017 г. е усвоен паричен заем от "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД. От "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД е изискано писмено становище по предмета на жалбата. В отговор дружеството е представило изисканите от него писмени доказателства – "Процедура за продажба на потребителски кредити на съществуващи и потенциални клиенти на УКФ", "Екип обслужване на клиенти" – дейност и бизнес процес", "Проверка на самоличност на клиентите и получаване на информация за измами", "Инструкция за употреба на оптични лупи – декодери". По делото като доказателства са събрани и приети и: Договор за потребителски кредит № 2749812 от 05.06.2017 г., Погасителен план, Медицински въпросник за приемане на застраховане и Съгласие за директен дебит. Образувано е било досъдебно производство (ДП) № 15322/2019 г. по описа на 06 Районно управление (РУ) на Столична дирекция на вътрешните работи (СДВР), прокурорска преписка № 42019/2019 г. по описа на Софийска районна прокуратура (СРП). В хода на досъдебното производство е била изготвена графологична експертиза № 172/08.08.2019 г., от данните по която се установява, че подписите за "потребител" "застрахован" и "платец" под Договор за потребителски кредит от 05.06.2017 г., заедно с погасителния план, медицинския въпросник за приемане на застраховане и съгласие за директен дебит не са положени от Н. Г. – Б.. КЗЛД се е произнесла единодушно, че жалбата е допустима - Протокол № 42/23.10.2019 г. На 04.12.2019 г. е проведено открито заседание на Комисията за разглеждане на жалбата по същество, за което е съставен Протокол № 48/04.12.2019 г. След обсъждане, с три гласа "За", единодушно е прието решение, с което жалбата е обявена за основателна. На 19.02.2019 г. е постановено процесното Решение № ППН-01-571/2019 от 19.02.2019 г. на КЗДЛ. Прието е, че "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД в качеството му на администратор на лични данни е извършило нарушение на чл. 4 ЗЗЛД (отм.); , съответстващ на чл. 6, ал. 1 от Регламент (ЕС) 216/679. Посочено е, че в подписан на 05.06.2017 г. договор за потребителски кредит се съдържат трите имена, единният гражданки номер (ЕГН), номер и валидност на лична карта, месторождение, постоянен адрес – информация, която безспорно има качеството на лични данни за лицето, както и че данните са били обработени от дружеството без съгласието на лицето, с цел подписване договор, без наличие на допустимост на обработването. На основание чл. 58, параграф 2, б. "и" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОРЗД, Регламент (ЕС) 2016/679) на "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД е наложена имуществена санкция в размер на 10 000 лв., съгласно разпоредбата на чл. 83, параграф 5, б. "а" за извършено нарушение на чл. 4, ал. 1 ЗЗЛД (отм.); , съответстващ на чл. 6, параграф 1 от Регламент (ЕС) 2016/679. Въз основа на така установените факти съдът приел от правна страна, че оспореният акт е издаден от компетентен орган, в рамките на предоставените му правомощия, съгласно чл. 38, ал. 3 ЗЗЛД. Решението е прието с мнозинство от гласовете на административния орган. Приел е, че не са налице съществени нарушения във формата и съдържанието на акта. В тази връзка съдът е отчел допусната очевидна фактическа грешка при изписване на годината на постановяване на решението – 2019 г., вместо 2020 г., Посочил е, че това не се отразява на законосъобразността на решението. Приел е, че не са допуснати и съществени нарушения на административнопроизводствените правила, които да са ограничили правото на защита на оспорващия. В тази връзка съдът е изложил съображения относно спазената процедура по разглеждане на жалбата. След като е отчел, че Регламент (ЕС) 2016/679 се прилага от 25.05.2018 г. пряко във всички държави членки и е посочил правомощията на КЗЛД съгласно закона и Регламента, когато е сезирана с жалба на физическо лице, което твърди, че са нарушени правата му по ЗЗЛД, съдът, предвид датата на която се твърди, че е извършено нарушението – 05.06.2017 г., е посочил, че това са разпоредбите, действащи до измененията обнародвани на ДВ бр. 17/26.02.2019 г. Посочил е, че отменените разпоредби на ЗЗЛД намират отражение и в Регламент (ЕС) 2016/679. Разпоредбата на чл. 4, ал. 1 ЗЗЛД (отм.); приложима към датата на извършване на нарушението, по която е квалифицирано същото, е идентична с чл. 6, параграф 1, букви от "а" до "е", вкл. от ОРЗД. Посочил е, че "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД е администратор на лични данни по смисъла на чл. 3 ЗЗЛД и чл. 4, параграф 7 от Регламента. Позовавайки се на определенията на понятията "лични данни" и "обработване", съдържащи се в чл. 4, параграф 1 и 2 от Регламент (ЕС) 2016/679, съдът е приел, че правилно КЗЛД е приела, че трите имена, ЕГН, номер и валидност на лична карта, адрес, месторождение на Н. Г. – Б. са лични данни, както и че същите са обработени, чрез употребата им. Обработването е без наличието на правно основание за това. В тази връзка съдът е посочил, че от експертно заключение № 127/08.08.2019 г. по преписка № 6982/2019 г. по описана 06 РУ на СДВР, пр. пр. № 42019/2019 г. се установявало, че Н. Г. – Б. не е подписала Договор за потребителски кредит № 2749812 от 05.06.2017 г., както и Погасителен план, Медицински въпросник за приемане на застраховане и Съгласие за директен дебит, респ. не е дала съгласие личните й данни да се обработват от дружеството жалбоподател. Правилно Комисията била приела поведението на дружеството като неправомерно обработване на лични данни в нарушение на принципите, посочени в чл. 2, ал. 2 ЗЗЛД (отм.);. Изложил е съображения, че за административното производство е ирелевантно дали деянието съставлява престъпление, кой е неговият автор и т. н. и, че наличието на съгласие за обработване на личните данни следва да се преценява за всеки конкретен и отделен случай, а жалбоподателят не е предприел ефективни организационни мерки за защита на личните данни на физическо лице и не е гарантирал по подходящ и сигурен начин, че няма да се стигне до неправомерното им обработване. Приел е, че органът се е обосновал защо е наложил за констатираното нарушение имуществена санкция в размер на 10 000 лв. на основание чл. 83, параграф 5, буква "а" във връзка с чл. 58, параграф 2, буква "и" от Регламент (ЕС) 2016/679. Изложил е съображения, че КЗЛД е определила размера на санкцията като е изследвала поотделно и в съвкупност всички посочени в чл. 83, параграф 2 от ОРЗД критерии. Приел е, че така определеният размер се явява съразмерен и пропорционален. Не се констатирали обстоятелства със значителен смекчаващ характер. Макар и да са били одобрени организационни мерки за идентифициране на потенциалните клиенти, те не са били достатъчно ефективни и резултатни, за да се обозначи високо ниво на сигурност на личните данни, както и че тяхното обработване се извършва в съответствие със закона. Решението е правилно. Фактическите установявания в обжалваното решение кореспондират на събрания доказателствен материал, поради което касационната инстанция ги приема изцяло и не следва да ги преповтаря. Пред настоящата инстанция не бяха представени доказателства, опровергаващи установените от съда факти. Такива доказателства не са представени и пред инстанцията по същество. Правилно решаващият съд, при коректно разпределена доказателствена тежест, е установил относимите към спора факти, въз основа на доказателствата събрани в производството пред административния орган и изисканите допълнително, в хода на съдебното производство, доказателства. Противно на изложеното в касационната жалба, съдът, въз основа на събраните доказателства, е възприел правилно всички относими факти и не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са последователни и логични, не си противоречат и се основават на правилен анализ на доказателствения материал. Съдебното решение не е необосновано. Съдът не е допуснал и твърдените в касационната жалба съществени нарушения на съдопроизводствените правила. Предвид разпоредбата на чл. 171, ал. 1 АПК правилно се е позовал на събраните в хода на административното производство доказателства, вкл. съдебно – графологичната експертиза. Приобщаването на същата към доказателствения материал събран от КЗДЛ в развилото се пред нея производство, е допустимо предвид общата норма на чл. 39, ал. 1 АПК, която предвижда, че фактите и обстоятелствата се установяват с всички средства, които не са забранени със закон и които са събрани по реда, предвиден в кодекса или специалните закони. Експертизата е назначена в хода на извършваната предварителна проверка по преписка № 6982/2019 г. и по делото не съществуват данни, че е изготвена и приобщена към материалите от досъдебното производство в противоречие с Наказателно-процесуалния кодекс (НПК). Експертизата е приобщена към административната преписка след разрешение на наблюдаващия прокурор, като искането на Комисията се основава на чл. 58, параграф 1, буква "а" и буква "д" от ОРЗД. Отделно от това в хода на съдебното производство, а и на административното, от страна на дружеството (сега касационен жалбоподател) не е поискано назначаването на нова експертиза. Съдът не е допуснал съществено нарушение на съдопроизводствените правила отказвайки да спре производството по делото, до влизането в сила на акт, който да установява наличие или липса на извършено престъпление. Въпросът дали при предоставянето на обработените лични данни на г-жа Б. е извършено престъпление не е преюдициален спрямо въпроса налице ли обработване на личните данни на г-жа Б. в нарушение на изискванията на действащия към момента на обработването ЗЗЛД. При разглеждането на жалба за нарушение при обработване на лични данни, какъвто е процесният случай, от КЗЛД не се преценява има ли извършено престъпление и кой е неговият извършител, а дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това взети ли са достатъчно мерки, за да гарантира правомерното обработване на лични данни. Това обстоятелство не се променя от факта на използването на събрани в хода на образувано досъдебно производство доказателства, каквито съображения са изложени в касационната, а и в първоинстанционната жалба. Правилно решаващият съд е приел, че наказателното производство, инициирано по сигнал на Н. Г. – Б. няма отношение към административноправния спор. Обстоятелствата, които се преценяват в двете производства са различни, както са различни и субектите участващи в тях и основанието за ангажиране на отговорността им. Субектът, който твърди, че е обработил данните законосъобразно следва да докаже именно това. В случая приобщаването на съдебно – графологичната експертиза към административната преписка е с цел установяване дали твърденията на лицето (че не е сключвало договор с дружеството), което е сезирало Комисията за злоупотреба с личните му данни и поискало проверка в тази връзка, са верни. По делото, а и пред КЗЛД дружеството не е ангажирало доказателства за правомерно обработване на личните данни на лицето. Не са ангажирани доказателства, че са спазени разписаните в утвърдената от дружеството процедура "Проверка на самоличност на клиентите и получаване на информация за измами". Ангажирането на доказателства за наличието на такава утвърдена процедура е недостатъчно, доколкото следва да се докаже, че тази процедура е спазена. Не са представени доказателства за начина, по който е поискано отпускането на кредита – попълнената онлайн заявка, не е представен записа на проведените телефонни разговори (в утвърдените процедури на дружеството е записано, че разговорите се записват) и не е поискана експертиза за тяхното възпроизвеждане. Твърденията, че дружеството е действало добросъвестно и че правомерно е обработило личните данни на лицето са останали недоказани. Защитната теза на касатора се гради на твърдението, че административният орган е следвало да изчака приключване на наказателното производство, след като е ползвало експертизата изготвена за нуждите на това производство. Но както се посочи по-горе двете производства са различни и установяват различни обстоятелства. Неоснователно в касационната жалба се сочи, че съдът е допуснал нарушение на материалния закон. От доказателствата по делото безспорно се установява, че "УНИКРЕДИТ КЪНСЮМЪР ФАЙНЕНСИНГ" ЕАД е администратор на лични данни по смисъла на чл. 3 ЗЗЛД и чл. 4, параграф 7 от Регламент (ЕС) 2016/679 и че дружеството без правно основание е обработило (чрез употребата им - § 1, т. 1 от ДР на ЗЗЛД (отм.); ) лични данни - три имена, ЕГН, номер и валидност на лична карта, адрес, месторождение, на Н. Г. – Б.. Данните на Н. Б. са били обработени с цел да се подпише договор, поради което твърдението на касационния жалбоподател, че поради сключения с лицето договор е било налице валидно законово основание за обработване на личните данни, е неоснователно. Дружеството, нито в хода на административното, нито в хода на съдебното производство, е доказало, че е предприело всички необходими мерки за законосъобразно обработване на личните данни и че е било налице основанието по чл. 4, ал. 1, т. 3 ЗЗЛД (отм.); , съгласно който обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане. Липсват категорични доказателства, че действията предхождащи сключването на договора са предприети по искане на Н. Г. – Б.. Неоснователно в касационната жалба се сочи, че при постановяване на решението на АССГ, е повторено допуснатото в решението на КЗЛД несъответствие с целта на закона и, че съдът необосновано е потвърдил наложената санкция на дружеството, без да е налице извършено нарушение. Категорично събраните доказателствата водят до извод, че личните данни са обработени без наличието на основание за това, което е нарушение, за извършването на което е предвидено налагането на административно наказание както в закона действал към датата на извършване на нарушението – чл. 42, ал. 1 ЗЗЛД, ката и в закона действал към датата на постановяване на решението на КЗЛД – Регламент (ЕС) 2016/679. Не е налице твърдяното в касационната жалба противоречие с материалноправните разпоредби при избора на приложимия закон вкл. и относно потвърдената от съда имуществена санкция, наложена в съответствие с разпоредбите на ОРЗД. Съдът е изложил подробни съображения кой е приложимият материален закон относно нарушението – този действащ към датата на извършването му, като изрично е посочил, че разпоредбите на чл. 4, ал. 1 ЗЗЛД (отм.); са идентични с тези предвидени и в чл. 6, параграф 1, букви от "а" до "е" от Регламент (ЕС) 2016/679. Макар и да не е изложила изрични съображения, а да се е позовала на чл. 124, ал. 1 АПК, КЗЛД е наложила санкция на дружеството по по-благоприятния закон – ОРЗД, а не ЗЗЛД в редакцията му към 05.06.2017 г. – чл. 42, ал. 1, поради което потвърждавайки така наложената санкция, съдът не е допуснал нарушение на материалния закон. В случая ОРЗД се явява по-благоприятен закон, предвид липсата на долна граница на размера на предвиденото административно наказание. Съображенията на решаващия съд, че КЗЛД е обосновала защо налага имуществена санкция вместо някоя от другите корекционни мерки предвидени в Регламент (ЕС) 2016/679 и относно размера на наложената санкция, са правилни и се споделят от настоящата инстанция на основание чл. 221, ал. 2 АПК, поради което не следва са се преповтарят. Размерът и вида на наложената санкция са определени съобразно критериите посочени в чл. 82, параграф 2 от ОРЗД, за което в решението на КЗЛД са изложени подробни мотиви, обосноваващи преценката й. При липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора, своевременно направените от ответника по касация и от заинтересованата страна претенции за присъждане на разноски следва да се уважат. Заинтересованата страна е представила доказателства за извършени разноски в размер на 300 лв. Неучастието в съдебно заседание на упълномощения процесуален представител и депозирането на бланкетен отговор по подадената касационна жалба, не е основание за отказ за присъждане на претендираните разноски, каквото становище застъпва процесуалният представител на касационния жалбоподател. Ако се приеме, че изявлението му е такова за прекомерност за заплатения адвокатски хонорар, то същото, с оглед размера на възнаграждението, което е под минимума по чл. 9, ал. 3 от Наредба № 1 от 9.07.2004 г. за минималните размери на адвокатските възнаграждения, не следва да се уважава. На ответника по касация следва да се присъди юрисконсултско възнаграждение в размер на 100 лв., на основание чл. 78, ал. 8 ГПК във връзка с чл. 144 АПК, чл. 37, ал. 1 от Закона за правната помощ, чл. 24 от Наредбата за заплащането на правната помощ и Тълкувателно решение № 3 от 13.05.2010 г. по тълкувателно дело № 5/2009 г. на Върховния административен съд. Воден от горното и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, пето отделение