Решение № 7010 от 25.6.2025 г. на ВАС по адм. д. № 3342/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба, подадена от Комисия за защита на личните данни /КЗЛД/, чрез процесуален представител, срещу решение 1507/07.03.2024г., постановено по адм.д. 10509/2023г. на Административен съд София-град /АССГ/.

С обжалваното съдебно решение е отменено Решение ППН-02-404/2022 от 04.09.2023г. на Комисия за защита на личните данни, с което КЗЛД:

1. обявява жалба с рег.ППН-02-404 от 05.08.2022г., подадена от Я. Л. Н. срещу Национална агенция за приходите-администратор на лични данни за основателна, за извършено нарушение на чл.32, §4, от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД, Регламента).

1. Във вр. с т.1 на основание чл.83, §4, б.а вр. чл.58, §2, б. и от Регламент (ЕС) 2016/679 налага на администратора на лични данни Национална агенция за приходите имуществена санкция в размер на 5000 лева.

Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон и необоснованост отменително основание съгласно чл.209, т.3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба и в писмена молба. Претендира разноски. Прави възражение по чл.78, ал.5 ГПК.

Ответната страна- Национална агенция за приходите /НАП/, чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Моли касационната жалба да се отхвърли като неоснователна. Претендира разноски.

Ответната страна- Я. Л. Н., не изразява становище по касационната жалба. Не претендира разноски.

Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба.

Настоящият състав на Върховния административен съд, пето отделение, приема, че касационната жалба е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е основателна.

За да постанови обжалваното решение съдът е приел, че оспорения акт е издаден от компетентен колективен административен орган, в писмена форма, при спазване на административнопроизводствените правила, но при неправилно приложение на материалния закон.

Съдът е приел за безспорно обстоятелството, че от служител на НАП като електронен адрес за кореспонденция на Я. Н. е добавен адреса [електронна поща] на друго лице - К. Л., без да е направено искане за това пред НАП от Я. Н., и действието на служителя на НАП е квалифицирано от съда като допуснато нарушение при обработката на адресите за кореспонденция на Н., без по делото да се установяват други обстоятелства, сочещи действието да е извършено злоумишлено и с цел злоупотреба с неговите лични данни.

Съдът е счел, че при извършените действия по обработка на лични данни на дата 05.08.2022г. длъжностното лице от НАП е действало в изпълнение на разписаните за това указания от администратора на лични данни НАП без да е допуснато нарушение по чл.32, §4 ОРЗД.

Съдът е намерил, че лични данни на Я. Н. се съдържат в електронната препратка на съобщението, но тя е отворена еднократно, от един IP адрес, непосредствено след отваряне на самото съобщение, и съдът е приел за доказано, че е активирана единствено от Я. Н. и единствено той се е запознал със съдържанието й, т.е. не е бил осъществен достъп до съдържащото се в нея от трето лице, конкретно К. Л..

Съдът е намерил за установено по делото допуснато на 26.05.2017г. нарушение от служител на НАП, който погрешно, без надлежно искане е въвел електронния адрес [електронна поща] като адрес за кореспонденция на задълженото лице Я. Н., но това нарушение не е било оспорено от него в действалия към момента на нарушението 5-годишен срок съгласно чл.38, ал.1 (ред. ДВ, бр. 39 от 2011г.) от Закона за защита на личните данни (ЗЗЛД), а извършеното изпращане на процесното електронно съобщение от страна на администратора на лични данни НАП е осъществено при осигурена сигурност на обработването по см. на чл.32 ОРЗД, без да е допуснато нарушение на чл.32, §4 ОРЗД.

Решението на АССГ е неправилно.

Противно на възприетото от първостепенния съд, обработването на лични данни на Я. Н.- субект на данни по см. на чл.4, §1 ОРЗД, от страна на администратора на лични данни НАП, изразено в изпращане на 05.08.2022г. (а не на 26.05.2017г. както неправилно е прието от първоинстанционния съд) чрез електронно съобщение до трето лице на документ, съдържащ лични данни (по см на чл.4, §1 ОРЗД) на Н.- три имена, ЕГН, адрес за кореспонденция и качеството му на подател на жалба, който документ е достъпен чрез действие на получателя върху линк (препратка), е нарушение на сигурността на обработване на личните данни на Н. по см. на чл.32, §4 вр. чл.5 §1 ОРЗД.

Този извод се налага защото в случая извършеното от администратора НАП обработване на процесните лични данни, чрез тяхното разпространяване е в нарушение принципите за законосъобразност и добросъвестност (чл.5, §1, б.а ОРЗД), без да са изпълнени условията за законосъобразност на обработването, регламентирани в чл.6 от Регламента, включително без субектът на данните да е дал съгласие за обработване на личните му данни по начина, приложен от НАП, свързан с конкретната цел на обработване. Горното означава изключване на хипотезите за законосъобразно обработване на лични данни, посочени в б. а и в на §1, чл.6 ОРЗД.

Същевременно допуснатото опущение от администратора на лични данни е при неизпълнение на задължението на НАП към процесната датата за предприемане на стъпки спрямо служител, действащ под ръководството на администратора, който служител има достъп до лични данни, да обработва тези данни само по указание на администратора ( в случая указанията, съдържащи се в Ръководство за вътрешни потребители-Връчвания, Портал и електронни услуги, предоставяни от НАП, указанията за внедряване на информационната система за връчване на документи и Правила за вътрешна организация в Дирекция ОДОП-София), а именно: служителите на НАП да изпращат съобщения до задълженото лице на посочения от него адрес за кореспонденция съгласно чл.28, ал.1, т.1 ДОПК.

Без значение в случая е целта на извършеното от обработване на лични данни, както и дали получателят на линка е извършил действието, даващо му възможност да достъпи личните данни на Я. Н..

Горното обосновава необходимостта надзорния орган да приложи корективните правомощия по чл.58 §2, б.и ОРЗД, съобразявайки особеностите на конкретния случай, спрямо администратора на лични данни, което в настоящия казус е сторено чрез налагане на имуществена санкция на НАП.

В този случай корективните правомощия на надзорния орган по чл.58, §2 б. и ОРЗД са упражнени предвид особеностите на конкретния случай, като наложената имуществена санкция на НАП законосъобразно е определена от административния орган в размер от 5000 лева, който размер е обоснован като подходяща ефективна и възпираща санкция спрямо администратора на лични данни, в хипотеза на вече налагана на същия санкция за идентично нарушение.

Първоинстанционният съд е постановил съдебно решение при наличие на сочените от касатора основания за отмяна по чл.209, т.3 АПК- противоречие с материалния закон и необоснованост, което трябва да бъде отменено на основание чл.221, ал.2 от АПК, като след неговата отмяна настоящият състав постанови решение по съществото на спора, с което отхвърли жалбата на Национална агенция за приходите, против Решение ППН-02-404/2022 от 04.09.2023г. на КЗЛД.

Предвид изхода на спора и съобразно претендираните и доказани разноски, на касатора следва да се присъдят разноски- юрисконсултско възнаграждение общо за двете съдебни инстанции в размер на 400 лева /по 200лв. за всяка инстанция/, и платена държавна такса за касационната инстанция в размер на 70лв.

По изложените съображения и на основание чл.221, ал.2, предл. второ и чл.222, ал.1 АПК Върховният административен съд, пето отделение