Решение № 7291 от 12.6.2024 г. на ВАС по адм. д. № 306/2024 г.

Производството е по чл.208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Комисията за защита на личните данни срещу Решение 174/29.11.2023г., постановено по адм.дело 202/2023г. по описа на Административен съд- Видин. Касационният жалбоподател счита решението за неправилно, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Моли да се отмени решението на Административен съд Видин като се потвърди решението на Комисията за защита на личните данни. Претендира се юрисконсултско възнаграждение. В писмен отговор ответникът областен управител на област Видин моли да се остави в сила решението на АС-Видин като правилно, законосъобразно и постановено при спазване на материалния и процесуалния закон. В с.з. касационният жалбоподател -Комисия за защита на личните данни, редовно призована не изпраща представител. Ответникът, редовно призован се представлява от юрисконсулт Иванова, оспорва касационната жалба, не сочи нови доказателства. Моли да се отхвърли касационната жалба, тъй като не са налице отменителни основания. Претендира юрисконсултско възнаграждение. Представителят на Върховната прокуратура дава мотивирано заключение за частична основателност на подадената касационна жалба. Върховният административен съд, състав на пето отделение, като взе предвид изложеното в жалбата и писмения отговор, становището на страните в с.з. и след като извърши проверка на обжалваното съдебно решение по реда на чл.218 от АПК, приема за установено следното: Касационната жалба е подадена в срок от надлежна страна срещу съдебно решение, което подлежи на касационен контрол и затова е допустима. Разгледана по същество, касационната жалба е частично основателна. Административното производство пред Комисията за защита на личните данни/КЗЛД/ е образувано във връзка с депозирано уведомление за нарушение на сигурността на личните данни по чл.33 от Регламент/ЕС/ 2016/679 от Областна администрация Видин. На 6 юли 2022г. в 11,15ч. на официалната интернет страница на Областна администрация Видин, в секция Търгове е била публикувана заповед РД-26-11/05.07.2022г. на областен управител на област Видин, която е свързана с определянето на купувач на недвижим имот частна държавна собственост. Заповедта е публикувана без да бъдат заличени лични данни на купувача имена , ЕГН, постоянен адрес, номер и дата на издаване на личната карта. Нарушението е установено на 11 май 2023г. в 10,30ч. по време на изпълнението на одитен ангажимент за увереност в Областната администрация Видин от държавен вътрешен одитор в Звеното за вътрешен одит към администрацията на Министерски съвет. Установено е, че от нарушението е засегнато едно физическо лице, купувач на недвижим имот частна държавна собственост. След констатиране на нарушението, същото е отстранено, като са направени съответните заличавания на личните данни на официалната страница на Областна администрация Видин. КЗЛД е извършила проверка по документи и е установила, че към момента на подаване на уведомлението за нарушение по чл.33 от Регламента в Областната администрация Видин действат Правила за защита на личните данни от 2013г., които се основават на режима за защита на лични данни преди влизане в сила на Регламент 2016/679 през 2018г.. Не са представени актуализирани Вътрешни правила за защита на личните данни, не са представени доказателства, че служителите са запознати с Правилата за защита на личните данни, няма изрични вътрешни правила ,разписващи процеса на публикуване на информация на официалната интернет страница на Областна администрация Видин. Преди констатираното нарушение не е извършван анализ на риска за правата на физическите лица във връзка с обработването на различни категории лични данни. Служителите не са преминали обучения, в длъжностните им характеристики не е включен текст за опазване на сигурността на информацията, съдържаща лични данни. С решението КЗЛД е разпоредила на администратора на лични данни Областна администрация Видин да извърши анализ на риска, въз основа на който да определи подходящи технически и организационни мерки за защита на личните данни като приеме политики, които да регламентират специфичните процеси по обработване на лични данни, както и правила за провеждане на обучения по защита на личните данни. Даден е 3 месечен срок за изпълнение на разпореждането. С решението на КЗЛД на администратора е наложено административно наказание имуществена санкция в размер на 10 000лв. на основание чл.58, пар.2, б.и от Регламент /ЕС/ 2016/679. За да отмени решението на КЗЛД, съдът е приел , че е допуснато съществено процесуално нарушение липсва протокол от проведеното гласуване от комисията. Съдът е приел също, че е налице съществено нарушение, тъй като КЗЛД не е представила надлежни доказателства, че заинтересованата страна, чиито лични данни са публикувани на интернет страницата е била уведомена за образуваното производство пред КЗЛД. Първоинстанционния съд е посочил, че мерките които са разпоредени от КЗЛД са изпълнени от Областната администрация Видин няколко дни след постановяване на решението като са представени доказателства по делото в тази насока. По отношение на наложената санкция на основание чл.58 пар.2, би от регламента съдът е приел, че при налагане на санкцията не е спазен редът, както и видът на акта , с който е следвало да се произнесе административният орган. Прието е , че в решението на КЗЛД няма мотиви относно размера на наложената имуществена санкция. В заключение съдът е приел жалбата за основателна и е отменил изцяло решението на КЗЛД. Съдебното решение е постановено от законен състав в рамките на правораздавателната му власт и затова е валидно. Съдебното решение е допустимо като постановено при надлежно упражняване правото на жалба от областния управител на област Видин срещу решението на Комисията за защита на личните данни. Съдебното решение е частично неправилно. Изводът на първоинстанционния съд, че е допуснато съществено процесуално нарушение от КЗЛД, тъй като не е представен от проведеното на 19.07.2023г. заседание, на което е взето решениеПАИКД-13-22/2023 е неправилен. Видно от приложеното по делото решение на КЗЛД, същото е издадено в предвидената от закона форма съдържа мотиви, изложени са фактически и правни основания и е постановен диспозитив. Решението е подписано от всички членове на комисията без особени мнения. Касационният състав не споделя извода на АС-Видин, че поради неприложения протокол от проведеното гласуване е налице съществено процесуално нарушение и това е основание за отмяна на административния акт. Неправилен е извода на съда за допуснато съществено нарушение на административнопроизводствените правила, поради това, че лицето чиито данни са публикувани на интернет сайта без заличени лични данни, не е конституирано като заинтересована страна в производството пред КЗЛД. Административното производство пред КЗЛД е образувано във връзка с уведомление за нарушение на сигурността на личните данни по чл.33 от Регламент 2016/679. Производството по разглеждане на уведомления по чл.33 от Регламента е особено административно производство, което има за цел да установи какви мерки за защита на данните е предприел администраторът преди инцидента, както и да се удостоверят предприетите мерки за намаляване на евентуалните неблагоприятни последици и ограничаване на възможността за повторно настъпване на инцидент. Уведомяването на засегнатите лица се предполага единствено при наличие на хипотезата на чл.34, пар.1 от Регламента- когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, каквато в случая не е налице. Касационният състав не споделя становището на първоинстанционния съд, че в административния акт няма изложени никакви мотиви относно преценка на размера на наложената санкция от 10 000лв. В решението на КЗЛД е извършен анализ, съобразно посоченото в чл. 83, пар.2, букви от а до к от Регламента. Съгласно описаните в акта мотиви и предвид характера и вида на констатираното нарушение, КЗЛД е приела, че е целесъобразно, пропорционално и възпиращо налагането на мярката по чл.58, пар.2, би от Регламента. Решението на КЗЛД обаче в частта, с която е наложена имуществена санкция в размер над 5 000лв. е неправилно. В конкретния случай по отношение на администратора на лични данни е установено, че няма предишни нарушения от подобно естество, оказано е сътрудничество на КЗЛД за отстраняване на нарушението и смекчаване на неблагоприятните последици, нарушението е станало известно на КЗЛД след уведомяване от администратора, разкрити са лични данни на едно физическо лице. По изложените съображения постановеното съдебно решение следва да се отмени и вместо него да се постанови друго по съществото на спора, с което да се отхвърли жалбата на областния управител на област Видин срещу решението на КЗЛД в частта по т.1 като неоснователна. Решението на АС-Видин следва да се отмени в частта, с която е отменено решението на КЗЛД по т. 2 за наложената имуществена санкция над 5 000лв., а в останалата част следва да се остави в сила. В полза на КЗЛД следва да се присъди юрисконсултско възнаграждение в размер на 100лв. Ето защо , съдът