Решение № 8431 от 12.7.2021 г. на ВАС по адм. д. № 5165/2021 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Изпълнителния директор на Национална агенция за приходите (НАП) чрез процесуален представител срещу решение 837 от 12.02.2021 г., постановено по административно дело 9546/2020 г. от Административен съд София-град (АССг), с което е отхвърлена жалбата му против решение ППН-02-507/2019/18.08.2020 г. на Комисията за защита на личните данни. По наведени доводи за неправилност на решението на всички основания посочени в чл. 209, т. 3 АПК се иска отмяната му и постановяване на ново по съществото на спора, с което обжалваният от него административен акт бъде отменен, като претендира и заплащане на юрисконсултско възнаграждение. Ответникът по касационната жалба Комисията за защита на личните данни (КЗЛД) чрез процесуален представител оспорва същата и моли съда да постанови решение, с което да я отхвърли като неоснователна. Ответникът по касационната жалба Д. Бодуен в представена писма молба моли обжалваното решение да бъде оставено в сила. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд (ВАС), състав на Пето отделение при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Обжалваното решение е валидно и допустимо постановено е от компетентния съд, след надлежно сезиране с жалба против административен акт от лице, чийто интереси са засегнати с него, а разгледано по същество е правилно. Първоинстанционният съд, след извършената проверка за законосъобразност приема, че оспореният пред него административен акт е издаден от компетентен орган, в предвидената от закона форма, при спазване на предвидените в закона административнопроизводствени правила и в съответствие с материалния закон и неговата цел. Предмет на проверка за законосъобразност пред АССг е било решение ППН-02-507/2019/18.08.2020 г. на КЗЛД, с което жалбата на Бодуен за извършена неправомерна обработка на личните му данни е приета за основателна и на основание чл. 58, § 2, б. г от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОРЗД) е разпоредено на администратора на лични данни НАП да въведе допълнителни контроли за установяване на неправомерен достъп и незаконно обработване на лични данни, особено в случаите на поставена задача или проект, който контрол да бъде системен и да възпрепятства такива незаконосъобразни действия, като е определен срок за това - три месеца от добиване стабилитет на акта. Решението е постановено при правилно приложение на материалния закон. По делото няма спор, че служител на НАП е осъществил достъпване на личните данни на Бодуен с цел лична информация, през продължителен период от време, без служебна необходимост за това, при което обосновано е прието, че администраторът на лични данни НАП с оглед на така установеното неправомерно обработване на лични данни, не е предприел необходимите технически и организационни мерки за тяхната защита или предприетите такива са явно недостатъчни. Изложените в касационната жалба доводи, че такива мерки са взети предвид постановените вътрешноведомствени актове, подробно изброени в нея и представени в първоинстанционното производство, включително Политика по информационна сигурност на НАП, са неоснователни, предвид факта, че осъщественото нарушение при обработване на личните данни на Бодуен е осъществено от администратора на лични данни при действието на посочените атове, което обосновава правилност на извода на АССг, че не са предприети необходимите технически или организационни мерки или предприетите са недостатъчни и съответно е налице нарушение по чл. 32, § 4 ОРЗД, задължаващ администраторът на лични данни да предприеме стъпки всяко физическо лице, действащо под ръководството му, което има достъп до лични данни, да обработва тези данни само по указание на администратора, освен ако от въпросното лице не се изисква да прави това по силата на правото на Съюза или правото на държава членка. Обстоятелството, че по отношение на служителите при администратора на лични данни НАП, извършили неправомерната обработка на личните данни на Бодуен са предприети дисциплинарни мерки не обосновава обратен извод. С оглед на така установеното, правилен е и изводът в обжалваното решение, че наложената принудителна административна мярка по чл. 58, § 2, буква г ОРЗД е в рамките на правомощията на КЗЛД като надзорен орган за защита личните данни и е необходима с оглед установените в хода на производството факти, свързани с начина на извършеното нарушение при обработката на лични данни и е в съответствие с целта на закона и принципите, свързани с обработката на лични данни, посочени в чл. 5 ОРЗД. При постановяване на решението не са допуснати нарушения на съдопроизводствените правила, като противно на твърденията на касатора, съдът е постановил акта си след изясняване на релевантните за спора факти, а направените правни изводи са базирани изцяло на събраните в хода на производството доказателства. Извършената проверка за законосъобразност на акта е направена при стриктно изпълнение на разпоредбата на чл. 168, ал.1 АПК, а изводите на съда са изложени подробно и аргументирано, при което решението е и обосновано. Предвид изложеното, настоящият съдебен състав на ВАС приема, че обжалваното решение е правилно и следва да бъде оставено в сила, като постановено при отсъствие на касационни основания за отмяна. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение