Решение № 3447 от 16.03.2021 г. на ВАС по адм. д. № 11934/2020 г.

Решение № 3447 от 16.03.2021 г. на ВАС по адм. д. № 11934/2020 г., V о., докладчик председателят Галина Карагьозова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Комисията за защита на личните данни (КЗЛД), чрез процесуалния й представител юрисконсулт К. Първанова, против решение № 4518 от 7.08.2020 г., постановено по адм. дело № 3171/2020 г. по описа на Административен съд – София-град (АССГ), Второ отделение, 27 състав, с което по жалба на [фирма] е отменено Решение № ППН-01-368/2019 от 20.02.2020 г. на КЗЛД, в частта му по т. 5, с която на дружеството е наложено административно наказание – имуществена санкция в размер на 5 000 лева на основание чл. 83, пар. 4, б. "а", във вр. с чл. 58, пар. 2, б. "и" от Регламент ЕС 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент ЕС 2016/679) за нарушение на чл. 23, ал. 1 от Закона за защита на личните данни (ЗЗЛД, отм.), респ. чл. 25, ал. 1 от Регламент ЕС 2016/679, и преписката е върната на КЗЛД за ново произнасяне, съобразно дадените в мотивите на първоинстанционното решение указания по тълкуването и прилагането на закона. Касаторът развива доводи за неправилност на решението на АССГ поради нарушение на материалния закон и съществено нарушение на съдопроизводствените правила – касационно основание за отмяна по смисъла на чл. 209, т. 3 от АПК. Оспорва застъпеното от съда становище за недоказан състав на нарушението по чл. 23, ал. 1 от ЗЗЛД (редакция преди 26.02.2019 г.), за което е ангажирана имуществената отговорност на [фирма] в качеството на администратор на лични данни. Поддържа твърдението, че допускането на неправомерна форма на обработване на лични данни по смисъла на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 е доказателство за липсата на въведени от администратора необходими и достатъчни мерки за тяхната защита. Счита за изяснено и несъмнено доказано по делото, че дружеството администратор на лични данни не е изпълнило вмененото му с разпоредбата на чл. 23, ал. 1 от ЗЗЛД (отм.); задължение, доколкото предприетите от него мерки били явно недостатъчни. Последното се доказвало от факта на допуснато обработване на личните данни на И. С. без правно основание, в това число без негово знание и съгласие, както и от системния, а не еднократен характер на нарушението. Твърди, че непредставянето пред административния орган на инструкция/вътрешни правила по смисъла на чл. 23, ал. 4 от ЗЗЛД (отм.); не променя факта на извършено нарушение на чл. 23, ал. 1 от с. з., тъй като същото било доказано с констатацията за извършено неправомерно обработване на личните данни на И. С. в нарушение на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679. Касаторът заявява също така, че в нарушение на съдопроизводствените правила съдът не е анализирал доказателствата по делото в тяхната съвкупност, поради което е достигнал до неправилен извод относно материална незаконосъобразност на решението на КЗЛД, в обжалваната му част. По изложените съображения моли решението на АССГ да бъде отменено като неправилно и вместо него съдът да постанови ново, с което да отхвърли като неоснователна жалбата на [фирма] срещу постановеното от КЗЛД Решение № ППН-01-368/2019 от 20.02.2020 г. Ответникът – [фирма], ЕИК [ЕИК], в писмен отговор оспорва касационната жалба като неоснователна и моли същата да бъде оставена без уважение. Не претендира разноски за производството. Ответниците И. С., Т. С., [фирма] и [фирма], не изразяват становище по касационната жалба. Представителят на Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на Пето отделение, при извършената служебна проверка на атакуваното решение по реда на чл. 218, ал. 2 от АПК и като взе предвид наведените касационни основания и установените по делото факти, мотивира следните правни изводи: Касационната жалба е подадена от активно легитимирана страна в срока по чл. 211, ал. 1 от АПК срещу подлежащ на касационно оспорване съдебен акт, поради което е процесуално допустима. Разгледана по същество е неоснователна. С обжалваното решение първоинстанционният съд: 1) е отменил Решение № ППН-01-368/2019 от 20.02.2020 г. на КЗЛД, в частта по т. 5, в която на основание чл. 83, пар. 4, б. "а" във вр. с чл. 58, пар. 2, б. "и" от Регламент ЕС 2016/679 на [фирма] е наложено административно наказание – имуществена санкция в размер на 5 000 лева за обработване – събиране на личните данни на жалбоподателя в нарушение на чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, пар. 1 от Регламент ЕС 2016/679, а именно – непредприети организационни и технически мерки, 2) и е върнал преписката на КЗЛД за ново произнасяне по допълнение към жалбата на И. С. до КЗЛД, касаещо [фирма], съобразно дадените от съда указания по тълкуването и прилагането на закона. За да постанови този резултат, съдът е приел, че процесното решение на КЗЛД е издадено от компетентен орган в кръга на неговите правомощия, при наличие на изискуемия кворум и мнозинство за приемане на акта, спазена е предписаната от закона писмена форма, изложени са от формална страна фактическите и правни основания за постановяване на решението и не са допуснати съществени нарушения на административнопроизводствените правила. Решението в обжалваната му част, касаеща наложената на "Лео Експрес" имуществена санкция за нарушение на чл. 23, ал. 1 от ЗЗЛД (отм.); , е преценено като несъответно на приложимия материален закон, поради което съдът го е отменил и е върнал преписката на органа за ново разглеждане. Мотивите на съда, подкрепящи горния извод, са за липса на взаимна обвързаност между нарушението на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 и това на чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, пар. 1 от Регламент ЕС 2016/679, за които законодателят е предвидил различни глоби/имуществени санкции в Глава осма на ЗЗЛД (редакция преди 26.03.2019 г.) – чл. 42, ал. 1, съответно чл. 42, ал. 9 от посочения закон. Съдът е обосновал становището, че обстоятелствата, свързани със системния характер на нарушението и с настъпването на вреди за засегнатото от неправомерно обработване на лични данни лице сами по себе си не могат да осъществят състава на чл. 23, ал. 1 от ЗЗЛД (отм.);. Посочените обстоятелства единствено биха могли да бъдат ценени като критерии при определяне на вида и размера на наказанието за нарушение на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679, съгласно нормите на чл. 83, пар. 2, б. "а" – "к" от Регламент ЕС 2016/679. В случая обаче КЗЛД е наложила на дружеството администратор на лични данни административно наказание – имуществена санкция не за нарушение на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 (което е било санкционирано единствено с налагането на корективна мярка – разпореждане по смисъла на чл. 58, пар. 2, б. "б" от Регламент ЕС 2016/679), а за нарушение на чл. 23, ал. 1 от ЗЗЛД (отм.); респ. чл. 25, пар. 1 от Регламент ЕС 2016/679. Относно последното не са събрани надлежни доказателства, органът не е анализирал в какво се изразява приетото за осъществено нарушение на задължението на администратора по чл. 23, ал. 1 от ЗЗЛД да предприеме необходимите технически и организационни мерки, за да защити данни от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване. Недоказано остава кои са конкретните технически и организационни мерки, заложени в приет вътрешен акт на дружеството – инструкция съгласно чл. 23, ал. 3 от ЗЗЛД (отм.); , които мерки да не са били предприети в срок, в резултат на което да е обективиран състав на нарушение на задължението по чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, пар. 1 от Регламент ЕС 2016/679, което от своя страна да е довело да нарушаване на правата на субекта на данни – И. С.. Решението на АССГ е правилно – постановено е при правилно тълкуване и прилагане на материалния закон и при липса на съществени процесуални нарушения. Не се спори между страните по делото, че обжалваният административен акт е издаден от компетентен орган – КЗЛД, в предписаната от закона форма и при законосъобразно проведена процедура пред административния орган, като съдържа всички изискуеми реквизити по чл. 59, ал. 2 от АПК, поради което е валиден акт. Решението е постановено, след като на страните е дадена възможност да изразят становище и представят писмени доказателства (чл. 36 от АПК). Административният акт е издаден след разглеждане на жалбата по същество в открито заседание, съгласно чл. 9, ал. 4 от ЗЗЛД и е прието единодушно от присъстващите членове на органа, формиращи кворум. Законосъобразно е и заключението на АССГ за постановяване на решението в противоречие с относимите материалноправни разпоредби. Не се спори между страните по делото, че по повод предоставянето на куриерски услуги от [фирма] – жалбоподател в първоинстанционното производство и настоящ ответник, личните данни на И. С. (за който е установено, че не е клиент на дружеството и не е давал съгласие за обработване на личните му данни от това дружество) са били получени от трето лице, посредством отразяването им в разходни касови ордери за извършени плащания по повод изпращане и получаване на пратки с наложен платеж. Не се спори и относно квалифициране на деянието като неправомерно обработване на лични данни, предвид констатацията, че същото е извършено при липса на условие за допустимост/законосъобразност на обработването съгласно чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679. Независимо от горното обаче, наличието на неправомерно обработване на лични данни по смисъла на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 не обуславя автоматично и закономерно извод за извършено нарушение и на разпоредбата на чл. 23, ал. 1 от ЗЗЛД (отм.);, какъвто погрешен извод е извел административният орган в своето решение. Фактически и правно обосновано е становището на първоинстанционния съд, че нарушението на чл. 23, ал. 1 от ЗЗЛД (отм.); не е логическа и законна последица от неправомерното обработване на данните, без да е проведено каквото и да е доказване на факти, относими непосредствено към фактическия състав на задължението по чл. 23, ал. 1 от ЗЗЛД (отм.);. За да е налице нарушение на цитираната разпоредба от закона, следва да е било изяснено от органа в хода на административното производство със събиране на относимите доказателства и излагане на съответните мотиви какви организационни и технически мерки е следвало да предприеме администраторът на лични данни в конкретния случай, но не е предприел, както и в какъв вътрешен акт на дружеството са били установени/разписани тези мерки, съответно какво е съотношението им с минималното ниво на технически и организационни мерки и допустимия вид защита, предвидени в наредбата по чл. 23, ал. 5 от ЗЗЛД (отм.); – Наредба № 1/30.0.2013 г. за минималното ниво на техническите и организационни мерки и допустимия вид защита на личните данни (действаща към процесния период). След като не е сторила това, а е санкционирала дружеството администратор на лични данни именно за допуснато нарушение по чл. 23, ал. 1 от ЗЗЛД (отм.); , КЗЛД е приложила материалния закон при недокрай изяснена фактическа обстановка по спора, в резултат на което наложеното на "Лео Експрес" административно наказание – имуществена санкция по чл. 83, пар. 4, б. "а", във вр. с чл. 58, пар. 2, б. "и" от Регламент ЕС 2016/679 се явява реализирано без правно основание. Предвид горното, следва да бъде потвърден изводът на АССГ, че в настоящия случай състав на извършено нарушение на чл. 23, ал. 1 от ЗЗЛД (отм.); респ. чл. 25, пар. 1 от Регламент ЕС 2016/679 не е доказан, с оглед на което законосъобразно и обосновано решението на КЗЛД, в оспорената му част, е било отменено, а преписката – върната на административния орган за ново произнасяне с указание да се установи дали администраторът на лични данни е изпълнил задължението си по чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, пар. 1 от Регламент ЕС 2016/679. За пълнота следва да бъде посочено, че житейски и правно допустимо е една операция по обработване на лични данни да осъществява едновременно състав на две и повече нарушения на ЗЗЛД, както твърди касаторът в жалбата до ВАС. В настоящия случай обаче, не са представени доказателства и не се сочат обстоятелства, от които да може да се заключи, със средствата на формалната логика при интерпретиране на фактите и подвеждането им под съответните материалноправни норми, че между нарушението на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 и твърдяното такова по чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, ал. 1 от Регламент ЕС 2016/679 съществува причинно-следствена връзка, която да налага по категоричен начин извода за доказан състав на второто нарушение въз основа единствено на фактите, обусловили осъществяване на първото. Както правилно е отбелязал и първоинстанционният съд, естеството, тежестта и продължителността на установеното нарушение на чл. 4, ал. 1 от ЗЗЛД (отм.); , респ. чл. 6, пар. 1 от Регламент ЕС 2016/679 не доказват сами по себе си състав на неизпълнение на задължението, възложено на администратора на лични данни по силата на чл. 23, ал. 1 от ЗЗЛД (отм.); , респ. чл. 25, ал. 1 от Регламент ЕС 2016/679. Неоснователно е и твърдението на касатора, че решението на АССГ е неправилно поради необсъждане на всички доказателства по делото в тяхната съвкупност. Оплакването е заявено бланкетно, без посочване на конкретните факти и доказателства, които не са били взети предвид от административния съд. Изводите на съда за издаване на процесния акт от компетентен орган, в съответната писмена форма, при спазване на административнопроизводствените правила, но в противоречие с материалноправните разпоредби са формирани след преценка на всички относими доказателства към спора, събрани в хода на административното и съдебното производства. При постановяване на решението не са допуснати съществени нарушения на съдопроизводствените правила. В случая съдът е изяснил фактите по случая, обсъдил е доводите на страните и служебно е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146 от АПК. Въз основа на съвкупната преценка на приетите по делото доказателства е направен изводът, че решението на КЗЛД е незаконосъобразно. По изложените съображения, настоящият касационен състав приема, че решението на АССГ е валидно, допустимо и правилно, поради което следва да бъде оставено в сила. Ето защо и на основание чл. 221, ал. 2, предложение първо от АПК, Върховният административен съд, Пето отделение,