Решение № 2918 от 20.3.2025 г. на ВАС по адм. д. № 10242/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Уникредит Булбанк АД, чрез адв. Я. Найденов против решение 12023 от 16.07.2024 г., постановено по адм. дело 3504/2024г. по описа на Административен съд София град (АССГ), с което е отхвърлена жалбата му срещу Решение ППН-01-794/22 от 08.03.2024г. на Комисия за защита на личните данни (КЗЛД). В касационната жалба не са наведени конкретни доводи за неправилност на решението. Може са се приеме твърдение за противоречие с материалния закон и необоснованост касационни основания за отмяна по чл. 209, т. 3 от АПК. По развити в жалбата съображения иска отмяна на решението и постановяване от касационната инстанция на решение по същество, с което да се отмени изцяло като незаконосъобразно решението на КЗЛД. Претендира присъждане на сторените по делото разноски за двете съдебни инстанции. Ответната страна - Комисията за защита на личните данни оспорва касационната жалба като неоснователна. По изложени в писмено становище съображения и съдебно заседание иска оспореното първоинстанционно решение да бъде оставено в сила като правилно. Претендира присъждане на юрисконсултско възнаграждение. Ответната страна - Н. А. Н., чрез адв. Русева в съдебно заседание оспорва касационната жалба. Моли обжалваното решение като правилно да бъде оставено в сила. Представителят на Върховна касационна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Върховният административен съд, пето отделение, намира касационната жалба като подадена в законоустановения срок по чл. 211 от АПК от страна, за която решението е неблагоприятно и против подлежащ на касационно оспорване съдебен акт за процесуално допустима. Разгледана по същество е неоснователна по следните съображения: Предмет на съдебен контрол за законосъобразност пред АССГ е Решение ППН-01-794/22 от 08.03.2024 г. на КЗЛД, с което в производство по чл. 38, ал. ЗЗЛД във вр. с чл. 77, §1 от Регламент (ЕС) 2016/679 е обявена за основателна жалбата на Н. А. Н. срещу "Уникредит Булбанк" АД - администратор на лични данни, за извършено нарушение на чл.5, §1, б "б" от Регламент (ЕС) 2016/679 - принцип на ограничение на целите за това, че на 08.11.2022г. администратора на лични данни е обработил (достъпил/извлякъл ) данни на жалбоподателя чрез RegiX, съдържащи се в регистър на задължените лица - справка за наличие или липса на задължения и в регистър български документи за самоличност - разширена справка за български лични документи на българските граждани за цели, различни от целите, за които се обработват (достъпват/извличат) данните. На основание чл.83, пар.5, б. "а" вр. чл.58, пар.2 , б."и" от Регламент (ЕС) 2016/679 на администратора на лични данни "Уникредит Булбанк" АД е наложена имуществена санкция в размер на 5000 лева. За да се произнесе по спора и отхвърли жалбата на касатора срещу посоченото по- горе Решение на КЗЛД, първоинстанционният съд приема, че оспореният административен акт е издаден от компетентен орган в рамките на предоставените му правомощия, в предвидената от закона писмена форма, при наличие на установените в чл. 59 от АПК реквизити и при липса на допуснати нарушения на административнопроизводствените правила. По отношение на преценката за съответствие на акта с материалния закон, съдът е потвърдил като правилни констатациите на административния орган, че "Уникредит Булбанк" АД като е достъпила/извлякла данни на Н. RegiX, съдържащи се в регистър на задължените лица - справка за наличие или липса на задължения и в регистър "Български документи за самоличност" - разширена справка за български лични документи на българските граждани е обработила личните данни на физическото лице в нарушение на чл.5, пар.1 от ОРЗД. АССГ приел за спорен по делото въпроса, дали това е направено при наличието на легитимно основание и анализирайки разпоредбите на чл.5, пар.1 и чл.6, пар.1 от Регламент (ЕС) 2016/679, регламентиращи принципите за законосъобразно обработване на личните данни е стигнал до извод, че това обработване не е необходимо за легитимните интереси на администратора. Изложил е съображения, че организиране на защитата на администратора по адм. дело 9144/2022г. по описа на АССГ не може да обоснове необходимост от обработване на личните данни на Н. за целите на легитимните интереси на администратора и редът по който би могъл да ги достъпи е този по ГПК и АПК, след преценка от страна на съда за тяхната допустимост и относимост по конкретното дело. По отношение наложената санкция за допуснатото нарушение, съдът е отчел, че КЗЛД разполага с оперативна самостоятелност като в съответствие с предоставените й функции преценява кое от корективните правомощия по чл.58, пар.2 от Регламента да упражни. Относно размера на наложената санкция, съдът е приел, че от страна на КЗЛД е съобразено обстоятелството, че нерегламентирания достъп е осъществен именно във връзка със защита по дело с предмет, твърдяно друго извършено нарушение на Регламента и ЗЗЛД, което предполага по - висока степен на внимание при администриране на данните на конкретното лице и имайки предвид размера на санкциите по чл.83, пар.5 от ОРЗД, както и че наложената на касатора е в минимален размер, съдът е приел, че същата не надхвърля необходимото за постигане на целите, а именно осигуряване на ефективна защита при обработка и съхранение на личните данни. Решението е правилно. Първоинстанционният съд е постановил обоснован съдебен акт, който е мотивирал с анализ на относими към спора доказателства. Оплакванията в касационната жалба преповтарят изцяло изложените в първоинстанционната жалба пред АССГ, които са разгледани и обсъдени в съдебното решение и преповтарят становището на касатора застъпвано в рамките на административното производство пред КЗЛД. В касационната жалба не се съдържат конкретни твърдения, покриващи касационните основания по чл.209, т.3 от АПК. Може да се извлече твърдение на нарушение на материалния закон. Фактическата обстановка не е спорна по делото и от събраните по делото доказателства ( представена справка от МЕУ) е установено, че на 08.11.2022г. от "Уникредит Булбанк" АД са достъпени данни на Н. чрез RegiX ,съдържащи се в регистър на задължените лица, справка за наличие или липса на задължения по идентификатор ЕГН. Като основание за достъпа до данните е посочена причина "Искане за кредит - Закона за кредитните институции" и "Изпълнение на операция по нареждане на кредит". Безспорно е установено, че на същата дата от касатора са достъпени данни чрез RegiX, съдържащи се в регистър български документи за самоличност, разширена справка за български лични документи на българските граждани. Като основание за достъпа до данните е посочена причина "Идентификация на клиенти по Закона за мерките срещу изпирането на пари". Касатора не оспорва обстоятелството, изрично потвърдено в производството пред КЗЛД, както и в подадените жалби, включително и касационна такава, че действителната причина за достъпа до данните на Н. е организирането на защитата по адм. дело 9144/2022г. по описа на АССГ и конкретно направено от Н. искане за предоставяне на правна помощ. С оглед тези безспорни по делото обстоятелства правилни са изводите на АССГ, че обработването на личните данни на Н. от страна на касатора е извършено в нарушение на принципа на ограничение на целите по чл.5, пар.1, б "б" от Регламент (ЕС) 2016/679. Правилно е отречена тезата на касатора, както от КЗЛД, така и от АССГ, че извършения достъп с оглед организиране на защитата му по адм. дело 9144/2022г. на АССГ е правомерен и по смисъла на чл.6, пар.1, б"е" от Регламента и е необходим за защита на легитимните интереси на администратора, в качеството му на страна по делото. Следва да бъде отбелязано, че целите за които е предоставен достъп до данните в съответните регистри на "Уникредит Булбанк" АД е разрешен и свързан с дейността на банката като кредитна институция, както и задълженията й за извършване на проверки на клиенти по Закона за мерките срещу изпирането на пари. Именно това основание е посочил касатора при достъпване на данните на Н., видно от представената справка, свързано със задълженията й като кредитна институция, но безспорно установеното действително основание за достъпа е организиране на защитата на касатора в производство по адм. дело 9144/2022г. на АССГ по което " Уникредит Булбанк" АД е страна. Следователно достъпа до данните не е осъществен за целите, за които е предоставен на касатора в качеството му на кредитна институция, а за негови лични, частни интереси, които не покриват изискването по чл.6, пар.1, б."е" във вр. с чл.5, §1, б."б" от Регламента принцип на ограничаване на целите, данните да се събират за конкретни, изчерпателно и изрично посочени в закона цели. Следва да бъде отбелязано, че предоставяне на правна помощ по конкретно дело е въпрос от изключителна компетентност и в правораздавателната власт на съответния съд, разглеждащ делото и по никакъв начин не обвърза ответната страна по спора, в случая "Уникредит Булбанк" АД. Касатора няма право на преценка дали са налице предпоставките за предоставяне безплатна правна помощ, както твърди в касационната жалба. Този въпрос засяга само и единствено, лицето претендиращо предоставянето на правна помощ, в случая Н., поради което в това производство не е страна и не може да участва по никакъв начин, включително и с изразяване на становище. Аргумент за това е и обстоятелството, че за останалите страни по спора, каквато е " Уникредит Булбанк"АД, изобщо не е предвидена възможност за обжалване на определението, с което се допуска такава правна помощ. Такава възможност за защита е предвидена само за лицето търсещо правна помощ и то в хипотезата на отказ за предоставяне от страна на съда. Ето защо не намира опора довода на касатора, че достъпа е осъществен за защита легитимните му интереси в качеството му на страна по дело по смисъла на чл.6, пар.1, б."е" от Регламента. Правото на защита на личните данни не е абсолютно право и трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права, съгласно принципа на пропорционалност. Касатора обаче не доказва наличието на легитимен обществен интерес да обработва личните данни на Н., доколкото в случая този легитимен интерес не се обуславя от определени обществени нужди, а се припокрива изцяло с търговския интерес на дружеството за достъп до лични данни. В случая достъпът до лични данни в посочените регистри е осъществен, извън легитимните цели, за които е предоставен на "Уникредит Булбанк" АД, поради което обработването на лични данни на Н. е незаконосъобразно. Личните данни се обработват законосъобразно, добросъвестно и по прозрачен начин, когато това се извършва за конкретни и легитимни цели, каквито в конкретния случай касатора не е доказал. Правилно както КЗЛД посочва в решението си, така и АССГ, че в случай на съдебен спор, в който "Уникредит Булбанк" АД е страна, дружеството разполага с предвидените в процесуалните закони средства да защити правата си. По наведените в касационната жалба оплаквания за липсата на преценка, както от страна на АССГ, така и от КЗЛД, относно степента на засягане на интересите на субекта на данните, както и дали тези интереси имат преимущество пред легитимния интерес на обработващия , следва да бъде подчертано отново, че касатора не доказва в производството легитимен интерес да обработва данните на Н., чрез достъпването им в съответните регистри и на следващо място въпроса за интензитета на засягане на субекта на данните е предмет на друго производство. В тази връзка доводът, че субектът на данните не е претърпял вреди от осъществения неправомерен достъп е неотносим в настоящото съдебно производство, включително и по отношение наложената на касатора санкция. Въпросът, относно претърпени вреди не подлежи на разглеждане в настоящото производство. Неоснователно е оплакването в касационната жалба за неправилност на решението на АССГ за това, че не е разгледал оплакванията, относно размера на определената имуществена санкция и посочените в решението на КЗЛД утежняващи обстоятелства. Противно на наведените твърдения в оспореното решение, съдът е анализирал упражняване на правомощията на КЗЛД по чл.58, пар.2 от Регламента и е стигнал до законосъобразен извод, че преценка на надзорния орган е дали да приложи предвидените принудителни административни мерки или глоба или имуществена санкция, както е в случая или съвместно, а в случая КЗЛД правилно е приложила корективната мярка по чл.58, пар.2, б."и" от Регламента "имуществена санкция". Съдът е обсъдил и размера на наложената санкция, с оглед степента на засягане на обществените отношения по защита на данните, съзнателния достъп до данните, извършен за други цели, свързани с търговския интерес на дружеството и с оглед предвидения размер на санкциите по чл.83, пар.5 от ОРЗД, като е взел предвид, че наложената е определена в минималния такъв е стигнал до законосъобразен извод, че наложената санкция е подходяща и не надхвърля необходимото за постигане на целта на закона за осигуряване на ефективна защита при обработка и съхранение на личните данни. Предвид изложеното се налага извод за правилност на обжалваното първоинстанционно решение като постановено при отсъствие на сочените от касатора основания за отмяна по чл. 209, т. 3 от АПК - неправилно приложение на материалния закон. Не се установяват и основанията по чл. 209, т. 1 и т. 2 от АПК, за които касационната инстанция следи служебно, поради което решението като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора, на КЗЛД следва да бъде присъдено юрисконсултско възнаграждение в размер на 200 лв. на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ, във вр. с чл. 24 от Наредбата за заплащането на правната помощ, предвид фактическата и правна сложност на делото. По изложените съображения и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение