Решение № 1171 от 3.2.2023 г. на ВАС, V о.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисия за защита на личните данни срещу Решение 3607/30.05.2022 г. на Административен съд София-град (АССГ) постановено по адм. дело 1727/2022 г. С обжалваното решение е обявена нищожността на Решение ППН-02-187/27.01.2022 г. на Комисия за защита на личните данни (КЗЛД, Комисията), с което на Народното събрание на Република България е разпоредено, в качеството на администратор на лични данни, да съобрази операциите по обработване на лични данни, като приложи подходящи технически и организационни мерки за осигуряване на съобразено с ниво на сигурност, съгласно чл. 5, § 1, б. е, вр. чл. 32, § 1 от Регламент (ЕС) 2016/679, като въведе правила за обработване на лични данни при провеждане на пленарни заседания и прякото им излъчване в ефир, които да бъдат разписани в Правилника за организацията и дейността на Народното събрание (ПОДНС) и КЗЛД е осъдена да заплати разноски по делото. Касационният жалбоподател обжалва решението с доводи, че то е неправилно, постановено при нарушение на материалния закон и необосновано касационни основания по чл. 209, т. 3 АПК. Излага подробни съображения, че решението на Комисията не страда от съществен порок, който да обоснове неговата нищожност, поради което изводът на съда за обратното е неправилен. Излага и подробни съображения за неправилност на изводите на съда, че е нарушен принципът на разделение на властите. Счита, че решението е неправилно и поради липсата на предпоставките изложени в чл. 173, ал. 1 АПК, тъй като съдът, след като е обявил решението за нищожно, не се е произнесъл по съществото на спора. Моли обжалваното решение да се отмени. Претендира юрисконсултско възнаграждение. Касационният жалбоподател се представлява от юрк. Павлова. Ответникът по касация Народно събрание на Република България (НС) оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Ответникът по касация се представлява от юрк. Каймаканов и юрк. Серафимов. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна. С обжалваното пред АССГ Решение ППН-02-187/27.01.2022 г. на КЗЛД е разпоредено на Народното събрание на Република България, в качеството на администратор на лични данни, да съобрази операциите по обработване на лични данни, като приложи подходящи технически и организационни мерки за осигуряване на съобразено с ниво на сигурност, съгласно чл. 5, § 1, буква е във връзка с чл. 32, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679, като въведе правила за обработване на лични данни при провеждане на пленарни заседания и прякото им излъчване в ефир, които да бъдат разписани в Правилника за организацията и дейността на НС. Определен е и двумесечен срок, считано от датата на получаване на решението, за изпълнение на разпореждането. От събраните по делото доказателства, първоинстнацинният съд е установил, че производството пред КЗЛД е образувано на основание сигнал рег. ППН-02-187/16.04.2021 г., съдържащ твърдение, че по националните медии от председателя на НС са изчетени единните граждански номера (ЕГН) на редица лица. В изпълнение на предоставената му възможност, във връзка с изложеното в сигнала, НС е изпратило Становище вх. ППН-02-187#2/28.06.2021 г., в което е предоставена информация относно проведеното на 16.04.2021 г. заседание на 45-то НС. Посочено е, че стенографският протокол от пленарното заседание, достъпен на интернет страницата на НС, не съдържа ЕГН на лицата. При направена проверка на видеозаписа от пленарното заседание е установено, че в същия се съдържат еднократно данни за ЕГН на едно лице народен представител. Изложени са съображения, че не е извършено нарушение при обработката на личните данни. От представеното заверено извлечение от стенографски протокол от проведеното на 16.04.2021 г. заседание на 45-то НС КЗЛД е установила, че НС е извършило заличаване на ЕГН на лицето в писмената стенограма в официалния сайт на НС. Видно от отразеното в Докладна записка рег. ППН-02-187#3/30.11.2021 г. при изслушване аудиофайлове на официалната страница на Българската национална телевизия (БНТ) и Българското национално радио (БНР), представляващи аудиозапис от излъчването на живо в ефира на БНТ и БНР на проведеното пленарно заседание на 16.04.2021 г., е установено, че в 1:15:31 ч. след началото на заседанието, председателя на НС И. Митева прочита решение 2462-НС, вкл. имената и ЕГН на А. Муртезова. С докладната записка е предложено на КЗЛД да отправи официално предупреждение на НС, в качеството му на администратор на лични данни, за това че е извършило нарушение във връзка със сигурността на данните. По делото е установено, че на КЗЛД, във връзка с предходно отправено искане, от НС са предоставени информация и документи, свързани с начина на обработване на лични данни в НС: 1. Аналитичен доклад за съответствието на процесите по обработка на личните данни с изискванията на Регламент (ЕС) 2016/679; 2. Одитен доклад от проведен преглед на системата за управление на сигурността на информацията в съответствие с ISO 27001; 3. Оценка на риска на дейностите по обработка на личните данни в съответствие ISO 31000; 4. Вътрешни правила за защита на личните данни в администрацията на Народното събрание на Република България и приложенията към тях; 5. Вътрешни правила за съхранение и унищожаване на лични данни и приложенията към тях; 6. Вътрешни правила за действие при нарушение на сигурността на личните данни и приложенията към тях; 7. Вътрешни правила за извършване на оценка за въздействието върху личните данни и Методология за извършване на оценка на въздействието; 8. Процедура за упражняване на права от субектите на данните и приложения; 9. Вътрешни правила за предаване на лични данни на трети държави или международни организации; 10. Методика за оценка на риска; 11. План за въздействие на риска; 12. Технически и организационни мерки за защита на личните данни; 13. Декларации за съгласие; 14. Публично достъпни на интернет страницата на Народното събрание съобщения за поверителност при обработка на лични данни на различни категории лица; 15. Съобщение за поверителност при наложените противоепидемични мерки. При така установеното от фактическа страна съдът е приел от правна страна, че решението на КЗЛД е издадено от компетентен административен орган, в предвидената от закона форма, без допуснати съществени нарушения на административнопроизводствените правила. Приел е, че административният акт е несъвместим с правния ред, тъй като е издаден в непреодолимо противоречие с материалноправни разпоредби. В тази връзка решаващият съд, предвид разпоредената промяна в ПОДНС, позовавайки се на Решение 7/25.05.2010 г. на Конституционния съд на Република България (КС) по к. д. 5/2010 г., Решение 3/07.07.2015 г. на КС по к. д. 13/2014 г. и чл. 8 от Конституцията на Република България (КРБ), е посочил, че е недопустимо КЗЛД за разпорежда в решението си извършване на действия от НС, които са част от изключителните му самостоятелни правомощия като орган на законодателната власт по чл. 62 КРБ. Посочил е, че решението противоречи на принципа на разделение на властите, като указва задължение за НС, което не е от правомощията на органа, определени с чл. 58 от Регламент (ЕС) 2016/679, вр. чл.10а ЗЗЛД, а е част от дискреционната власт на законодателния орган. Извел е извод, че КЗЛД, макар да има правомощието да разпореди на НС, в качеството му на администратор на лични данни съгласно чл. 57, пар. 2, буква г от Регламента, да съобрази операциите по обработване на данни с разпоредбите на Регламента, което е сторено с процесното решение, няма правомощието да стори това по указания в процесното решение начин чрез въвеждане на правила за обработване на личните данни при провеждане на пленарни заседания и прякото им излъчване в ефир, които да бъдат разписани именно в ПОДНС. Решението е неправилно. Фактическите установявания на съда кореспондират на събрания доказателствен материал. При правилно установени факти решаващият съд е достигнал до незаконосъобразни правни изводи. Основателно в касационната жалба се сочи, че оспореният от НС административен акт не страда от толкова тежък и съществен порок, че същият да не може да произведе валидни правни последици. Решаващият съд приема, че обжалваното решение е нищожно, тъй като е издадено в непреодолимо противоречие с материалноправни разпоредби и е несъвместимо с правния ред. В теорията и съдебната практика се приема, че един административен акт е нищожен при порока материална незаконосъобразност, когато е налице пълна липса на условията (предпоставките), визирани в хипотезата на приложимата материалноправна норма, когато актът е изцяло лишен от законово основание, когато акт със същото съдържание не може да бъде издаден въз основа на никакъв закон, от нито един орган. Комисията за защита на личните данни, съгласно чл. 6, ал. 1 и 2 от Закона за защита на личните данни (ЗЗЛД) е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД. Комисията съдейства за провеждането на държавната политика в областта на защита на личните данни. В чл. 10 и чл. 10 а ЗЗЛД, съответно в чл. 57 и чл. 58 от Регламент (ЕС) 2016/679 са регламентирани задачите и правомощията на КЗЛД. Основна задача на Комисията е да осигурява прилагането на регламента и ЗЗЛД. Съгласно чл. 58, § 2, б. г от Регламент (ЕС) 2016/679, която разпоредба е посочена като правно основание за издаване на обжалваното решение, Комисията има правомощието да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. Предвид това, не може да се приеме, че за издаване на процесното решение липсва законово основание или че същият не може да бъде издаден. Следователно посочените по-горе условия, за да се приеме, че решението на КЗЛД е нищожно поради съществено противоречие с материалния закон, не са налице. Съображенията на съда, че с процесното решение се нарушава принципът на разделение на властите, което е нарушение на закона и води до нищожност на административния акт, не се споделят от настоящата инстанция. Указаният начин на изпълнение на даденото разпореждане може да е основание за незаконосъобразност на същото. Регламентът предвижда, когато е целесъобразно да се указва начина на изпълнение на дадено разпореждане. При преценката на материалната законосъобразност на издадения административен акт може да се преценява дали указаният начин за изпълнението му отговаря на целта на закона. Отделно от това съображения на решаващият, за да обяви решението изцяло за нищожно касаят само втората част на разпореждането на Комисията относно указания начин за изпълнение на наложената административна мярка, именно разписването на подходящи технически и организационни мерки в ПОДНС. Разпореждането в тази част, по изложените по-горе съображения не е нищожно, независимо от характера на ПОДНС с оглед цитираните от решаващия съд решения на КС. Съдът не е изложил каквито и да е съображения относно законосъобразността на същинската част от разпореждането на Комисията, а именно вмененото на НС задължение да съобрази операциите по обработване на лични данни, като приложи подходящи технически и организационни мерки за осигуряване на съобразено с ниво на сигурност, съгласно чл. 5, § 1, буква е във връзка с чл. 32, § 1 от Регламент (ЕС) 2016/679, като въведе правила за обработване на лични данни при провеждане на пленарни заседания и прякото им излъчване в ефир. Бланкетно е посочил, че Комисията има това правомощие. Даването на разпореждане като процесното е в правомощията на КЗЛД, но следва да се прецени дали са били налице основанията за издаването му. Съдът не е изследвал и изложил съображения дали представените от НС информация и документи, свързани с начина на обработване на лични данни в НС са анализирани от Комисията и дали в тях се съдържат правила за обработване на лични данни при провеждане на пленарни заседания и прякото им излъчване в ефир. Не е изложил съображения направена ли е Комисията преценка какви лични данни са обработени и дали и защо това е неправомерно и налага издаване на разпореждане като процесното. Именно Комисията е органа, който следва да извърши преценка на въведените от един администратор на лични данни правила за защита на личните данни и съобразно това да прецени има ли нарушение, от кого е извършено, довело ли е до нарушаване на сигурността на данните, съответно кое от правомощията си по чл. 58, § 2 от Регламент (ЕС) 2016/679 да приложи. Излагането на съображения в тази връзка за първи път от касационната инстанция би довело до лишаване на страните от една инстанция. Правилно решаващият съд е приел, че обжалваното решение е издадено от компетентен орган и в предвидената от закона форма. Изводът му, че не е допуснато съществено нарушение на административнопроизводствените правила е необоснован, защото не са изложени конкретни мотиви, от които да е видно, защо съдът е достигнал до този извод. По изложените съображения обжалваното решение като неправилно следва да бъде отменено. Делото следва да бъде върнато за ново разглеждане от друг състав на същия съд, който да извърши проверка на акта на всички основания по чл. 146 АПК. С оглед изхода на спора по претенциите за разноски ще следва да се произнесе съдът при новото разглеждане на спора, на основание чл. 226, ал. 3 АПК. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ, вр. чл. 222, ал. 2 АПК, Върховният административен съд, пето отделение