Решение № 5683 от 9.5.2024 г. на ВАС по адм. д. № 6756/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Български пощи ЕАД, приподписана от пълномощника юрисконсулт М. Кехайова-Димитрова, срещу решение 6248 от 27.10.2022 г., постановено по адм. дело 4283/2022 г. по описа на Административен съд София-град (АССГ), с което е отхвърлена жалбата му срещу решение ППН-01-926/20г. от 14.04.2022 г. на Комисията за защита на личните данни (КЗЛД). Касационният жалбоподател оспорва съдебното решение като неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 АПК. Счита, че първоинстанционният съд е неглижирал възраженията му за допуснати съществени процесуални нарушения от КЗЛД по събиране на пълния обем доказателства във връзка с индициите за представяне на неистински документи пред служителите на Български пощи ЕАД. Оспорва констатацията, че тази служители не са извършили проверки на документите за самоличност и не са направили връзка между единния граждански номер (ЕГН) и конкретното физическо лице, защото такава връзка може да бъде направена единствено от органите на реда, които разследват случая. Заявява, че дружеството изпълнява задълженията си по смисъла на Закона за пощенските услуги (ЗПУ) и освен справката за наличието на 1550 пратки с титуляр ЕГН на лицето, е оказало пълно съдействие на разследващите органи. Намира, че по случая не са събрани необходимия обем доказателства, което квалифицира като съществено нарушение на процесуалните правила. За неправилен намира извода, че Български пощи ЕАД е нарушило принципа на чл. 5, § 1, б. а от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, ОРЗД, Регламент (ЕС) 2016/679, Регламента). Счита, че дружеството е имало основание да обработва личните данни на конкретното лице, доколкото същият е потребител на пощенска услуга, на основание чл. 20, ал. 1, т. 11 ЗПУ, независимо дали лично е предоставил данните си. Позовава се на собствените си Общи условия по предоставянето на пощенски услуги, разработена Политика за защита на личните данни във връзка с Регламент (ЕС) 2016/679. Счита, че Български пощи ЕАД е спазило принципа за точност при работата със съответните лични данни, тъй като те са били обработвани по начина по който са били дадени и информацията е била предоставена на разследващите органи. Възразява на извода, че нарушението е било осъществявано в продължителен период от време без да бъде установено несъответствието между ЕГН и лицето, защото при първоначалната регистрация е бил получен клиентски номер, чрез който данните за лицето са били генерирани автоматично при всяка следваща пратка. Оспорва преценката за липса на контрол без конкретни аргументи. Изразява несъгласие с размера на наложената санкция, като противоречащ на чл. 83 ОРЗД. Счита, че първоинстанционният съд не е изложил собствени мотиви, а е възприел тези на КЗЛД. По изложените съображения иска отмяна на съдебното решение или алтернативно, да бъде намален размерът на наложената санкция. Претендира разноски за двете инстанции. Ответникът - КЗЛД, чрез процесуалния си представител юрисконсулт Д. Гладникова, в съдебно заседание оспорва касационната жалба и моли да бъде отхвърлена, а оспореното съдебно решение да бъде оставено в сила. Не претендира разноски. Ответникът - Р. Йорданов, не се явява, не се представлява пред съда и не изразява становище и не прави искания. Прокурорът от Върховна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. С обжалваното решение АССГ е отхвърлил жалбата на Български пощи ЕАД срещу решение ППН-01-926/20г. от 14.04.2022 г. на КЗЛД, с което за основателна е била обявена жалбата на Р. Йорданов по отношение на дружеството за нарушение на чл. 5, § 1, б. а и б. г, чл. 5, § 2 и чл. 6, § 1 ОРЗД и на основание чл. 58, § 2, б. и, вр. чл. 83, § 5, б. а от Регламента, на Български пощи ЕАД е наложено административно наказание - имуществена санкция в размер на 10 000 лева. Съдът е събрал и обсъдил релевантните за спора доказателства, като правилно е изяснил фактическата обстановка по делото. Приетите факти не са предмет на спор понастоящем. Въз основа на установеното, съдът с мотивирани съображения е намерил, че решението на КЗЛД е законосъобразен административен акт - постановен от компетентен орган, при спазване на нормативно предвидената процедура и в изискуемата писмена форма. По възраженията на жалбоподателя за допуснати съществени нарушения на административно производствените правила във връзка със събирането на доказателства и твърдяното наличие на индиции за представяне на неистински документи пред служителите на дружеството е посочено, че както пред КЗЛД, така и пред съда доказателства в такава насока не са били ангажирани. Преценявайки съответствието с материалния закон първоинстанционният съд е отчел, че Български пощи ЕАД в качеството му на администратор на лични данни, е обработило данните на Р. Йорданов. Неговият ЕГН се е появил за първи път в базата данни на дружеството на 19.08.2019 г. срещу лице с име Я. Великов. Същият бил записан като подател на препоръчана пратка за чужбина и при извършената от служителите на дружеството първоначалната регистрация, му бил издаден клиентски номер 1322788. От тогава до 31.12.2020 г. - или за период от повече от 16 месеца, са били подадени 1550 препоръчани пощенски пратки по този клиентски номер, при които автоматично са се генерирали първоначално въведените данни за ЕГН на Р. Йорданов, независимо че пратките са изпращани от множество различни от него или от Я. Великов лица, включително и лица от женски пол. Тези несъответствия не са били констатирани от служителите на Български пощи ЕАД, въпреки вмененото им задължение за безспорна идентификация на техните клиенти - изпращачи на препоръчани колетни пратки. Освен това Р. Йорданов не е притежавал електронен магазин или платформа за онлайн търговия, не е имал качеството на реален изпращач или получател на конкретните 1550 пратки, а между него и дружеството не е бил сключван договор за универсална пощенска услуга. При тези факти и преглед на приложимата уредба на Регламент (ЕС) 2016/679, съдът е споделил извода на КЗЛД, че Български пощи ЕАД е извършило нарушение на § 5, § 1, б. а и б. г, чл. 5, § 2 и чл. 6, § 1 ОРЗД, съгласно които личните данни следва да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните. Те трябва да са точни и при необходимост да бъдат поддържани в актуален вид, като се предприемат всички разумни мерки за да се гарантира своевременното изтриване или коригиране на неточни лични данни. Отхвърлено е възражението, че личните данни на Р. Йорданов са били обработвани в изпълнение на императива на чл. 20, ал. 1, т. 11 ЗПУ, тъй като не е имало негово съгласие за тази обработка. Те са били предоставени на пощенския оператор от трето лице - Я. Великов, който е бил подател на първата пощенска пратка за чужбина. След това по издадения му клиентски номер са били реализирани и останалите 1550 пратки. Нито при първата, нито при последващите пратки служителите на Български пощи ЕАД са проверили съответствието на данните с документ за самоличност на представящите ги лица. С това данните на Йорданов са били обработвани не само в нарушение на Регламент (ЕС) 2016/679, т. е. незаконосъобразно, но и в нарушение на принципите за добросъвестност и точност. Установена е и липса на контрол, в резултат на което е допуснато обработване на неточни лични данни, което е могло да бъде констатирано и преустановено още при първоначалното изпращане на пощенска пратка от Я. Великов, а и по-късно при всяко следващо подаване на пратки от множество други лица с различни ЕГН от това на Йорданов. По отношение на санкцията АССГ е изложил, че изцяло в правомощията на КЗЛД е налагането й на основание чл. 58, § 2, б. и от Регламента. Като правилно е преценено и индивидуализирането й по размер, съобразно степента на засягане на обществените отношения и произтеклите за лицето неблагоприятни последици, свързани с обработване на неговия ЕГН за значителния период от 16 месеца и то общо 1550 пъти, без самият Йорданов да е имал качеството клиент на Български пощи ЕАД. При тези мотиви АССГ е постановил атакуваното сега решение с което е отхвърлил жалбата. Решението е правилно. Касационният съдебен състав възприема изцяло мотивите на първоинстанционния съдебен акт и препраща към тях на основание чл. 221, ал. 2, изр. 2 АПК. Обжалваното решение е постановено при спазване на съдопроизводствените правила. При вярна преценка на приетия по делото и неоспорен от страните доказателствен материал, АССГ е достигнал до правилен извод за законосъобразност на атакуваното решение на КЗЛД. Обосновано първоинстанционният съд се е позовал на установената в административното производство и описана в оспореното решение на КЗЛД фактическа обстановка, която в хода на съдебното дирене пред първата инстанция е потвърдена. Дружеството-жалбоподател не е представило доказателства, които да оборят фактическите установявания в рамките на административното производство, включително не е ангажирало нови такива, които да потвърдят наличието на твърдяната от него индиция за представяне на неистински документи пред служителите на Български пощи ЕАД. Трудно може да се обоснове, дори и по пътя на дедуктивния метод, че на служителите са били представени 1550 пъти неистински документи без те да се усъмнят. Многократния брой на използването на чужд ЕГН, по-скоро е индиция за липсата изобщо на проверки на съответния ЕГН при подаването на пратките с посочения клиентски номер. Безспорно е установено, че Р. Йорданов е сезирал КЗЛД за това, че личните му данни са били неправомерно обработени от Български пощи ЕАД, тъй като друго лице е представило неговия ЕГН, под който са били подадени 1550 препоръчани пощенски пратки за чужбина, без самият Йорданов да е бил клиент на пощенския оператор. Посоченото е прието от административния орган за нарушение на Регламента, изразяващо се в действия по събиране, употреба и съхранение на личните данни на Р. Йорданов, без неговото съгласие за обработване и за нарушение на принципите на допустимост и законосъобразност по чл. 5, § 1, б. а и б. г, чл. 5, § 2 и чл. 6, § 1 ОРЗД, като тези изводи са споделени и от решаващия съд. Правилен и законосъобразен е изводът на съда, че обработването на личните данни на Йорданов е неправомерно. Касаторът е администратор на лични данни и доколкото е доказано от фактическа страна действие по обработване на лични данни за целите и със средствата, определени от дружеството в качеството му на администратор на лични данни за което е установено, че е извършено в нарушение на посочените разпоредби от Регламент (ЕС) 2016/679, същото правилно е прието за нарушение, съответно е санкционирано. Неоснователно е възражението в касационната жалба, че първоинстанционният съд е неглижирал възраженията на жалбоподателя, понастоящем касатор, с което е допуснал съществено нарушение на съдопроизводствените правила. Обсъдени са всички представени по делото доказателства и е отговорено на направените доказателствени искания, а самият жалбоподател не е проявил процесуална активност за да докаже, че твърдените от него индиции са реални факти. Обсъдени са възраженията относно обема на дължимата грижа от страна на Български пощи ЕАД при обработката на личните данни. Въпреки наличието на Общи условия по предоставянето на пощенски услуги и разработени политики за защита на личните данни, това по никакъв начин не е предотвратило многократно осъществяване на работата с неточните данни по ЕГН на Йорданов за други лица. Това води до единствения възможен извод за неспазване на предписаните политики и липса на подходяща организация и контрол. Последното е довело и до неспазване на принципа на точност при работата с лични данни, защото осъществената 1550 пъти за период от 16 месеца, неизвършена идентификация по ЕГН в никакъв случай не е съответна на този принцип. В жалбата до съда, настоящият касатор е поддържал, че не носи отговорност, тъй като е взел необходимите технически и организационни мерки за защита, като вероятно свързването на ЕГН на Р. Йорданов с други лица е извършено поради представяне на неистински документи за самоличност, което осъществява и състав на престъпление. Съдът изрично е посочил в решението си, че в съдебното производство не са били представени доказателства за съществуването на обстоятелства, годни да обосноват изводи, различни от формираните от КЗЛД. Същевременно Български пощи ЕАД е следвало да упражни изискуемия контрол при работата с личните данни и документите за самоличност на лицата. Следователно, съдът е обсъдил и разграничил отговорността на администраторите на лични данни, като независимо от обстоятелството, че някое от действията по обработката на личните данни може да осъществява и състав на престъпление, още повече, че двата вида отговорност - административно-наказателната за юридическото лице и наказателната за конкретен извършител, могат да бъдат осъществени самостоятелно и независимо една от друга. Неоснователни са възраженията в касационната жалба за неправилното приложение на материалния закон и неиндивидуализирането на санкцията. Регламент (ЕС) 2016/679, чиито разпоредби са приети за нарушени с решението на КЗЛД, е действащо право в Република България и като такова е годно правното основание за налагане на предвиденото в него наказание. Съобразно приложимото към случая право, в обстоятелствената част на решението на КЗЛД са изложени подробни съображения във връзка с определената по вид и размер конкретна санкционна мярка - имуществена санкция. Административният акт, като издаден при условията на оперативна самостоятелност, съдържа конкретни и ясни мотиви за направения избор на най-ефективна, целесъобразна и съобразена с принципа на пропорционалност корективна мярка. Обоснован е размерът на имуществената санкция - 10 000 лева, при определянето на която са взети предвид изяснените по случая факти, като е проявена много голяма снизходителност с оглед предвидения размер на санкциите по чл. 83, § 5 от ОРЗД - до 10 000 000 EUR или, в случай на предприятие - до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока По тези съображения, като е приел, че решението на КЗЛД и в санкционната му част е постановено в съответствие със закона и е отхвърлил жалбата на Български пощи ЕАД срещу решение ППН-01-926/14.04.2022 г. на КЗЛД, административният съд е постановил законосъобразен съдебен акт, при правилно тълкуване и прилагане на материалноправните разпоредби. Избраната мярка е подходяща и съответна на предвидения с нейното налагане санкционен, дисциплиниращ и предупредителен ефект, със същата не се надхвърля необходимото за постигането на тези цели, т. е. постига се целта на закона за осигуряване на ефективна защита при обработка и съхранение на личните данни. По изложените съображения касационната инстанция приема, че не е налице основание по чл. 209, т. 3 АПК за отмяна на обжалваното решение. Същото като правилно, валидно и допустимо следва да бъде оставено в сила. При този резултат на делото на основание чл. 143, ал. 3 АПК, право на разноски имат ответниците, но те не претендират присъждането на такива. Предвид горното и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение