Решение № 3375 от 31.3.2025 г. на ВАС по адм. д. № 5650/2023 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Агенцията по вписванията (АВ), чрез юрк. И. Иванов срещу решение 304 от 22.03.2023г. по адм. дело 2000/2022 г. на Административен съд Бургас, с което е отменен отказ, обективиран в писмо 94 - 00 - 1018/17.11.2022 г. на изпълнителния директор на АВ да уважи искане за заличаване на лични данни по партидата на "Старлайт Инженерниг" ЕООД по жалбата на К. Т. Т. и е изпратил преписката на АВ за ново произнасяне по заявлението за заличаване на лични данни на Т., при спазване указанията по тълкуване и прилагане на закона. Касаторът навежда доводи, че обжалваното решение е неправилно, поради нарушения на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни отменителни основания по чл.209, т.3 АПК. Оспорват се изводите на АС - Бургас, че АВ е администратор на лични данни по смисъла на §4, т.7 от Регламент (ЕС) 2016/679 с доводи, че е единствено получател на данни, предоставени в хода на регистърното производство. Позовава се на становище на КЗЛД рег. ПНМД -01 -116(20)2021, което намира за задължително, издадено от надзорен орган в Република България по смисъла на чл.51 от ОРЗД. Твърди нарушение на чл.190 ГПК, поради отказ на АС да конституира като страна по делото на дружеството - администратор на лични данни. Счита, че отмененото от първостепенния съд писмо не носи белезите на ИАА по смисъла на чл.21, ал.1 от АПК и неправилно е прието, че представлява акт, който подлежи на обжалване. По подробно развити съображения в касационната жалба иска отмяната на решението и отхвърляне на жалбата на К. Т.. Претендира присъждане на разноски, включително юрисконсултско възнаграждение за двете съдебни инстанции. С писмена молба от 16.01.2025г., докладвана в съдебно заседание на 06.02.2025г., АВ навежда доводи, че след подаване на жалбата, АВ е изпълнила искането за заличаване на данните в партидата на дружеството, поради което за жалбоподателя липсва правен интерес от оспорването. Иска прекратяване на производството по делото, поради отпаднал правен интерес. В подкрепа на доводите в молбата от АВ е представен учредителен акт на "Старлайт Инженеринг" ЕООД със заличени лични данни на К. Т.. Ответникът по касационна жалба - К. Т. Т., в представено писмено становище по делото, чрез адв. Г. Стоянов оспорва касационната жалба и моли решението като правилно да остане в сила. Претендира разноски, съгласно представен договор за правна услуга от 06.10.2024г. По искането за прекратяване на производството по делото, поради отпаднал правен интерес не изразява становище, а предоставя на преценката на съда прекратяване на производството. Представителят на Върховна касационна прокуратура дава мотивирано писмено заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, намира касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. Разгледана по същество е неоснователна. Искането на касатора за прекратяване на производството по делото, поради отпаднал правен интерес за ответника от водене на делото, настоящият съдебен състав намира за неоснователно. Доказателства за заличаване на личните данни на К. Т., съдържащи се в учредителен акт на "Старлайт Инженеринг" ЕООД са представени от АВ с молба от 16.01.2025г. Заличаването е извършено две години и два месеца след подаване на заявлението до АВ на 10.11.2022г., с което Т. е упражнил правото си на изтриване на личните данни и почти две години след постановяване на първоинстанционното решение на АС - Бургас, предмет на касационна проверка. През този период АВ не е предприела нужните действия по заличаване на личните данни на Т. в публикувания учредителен акт, поради което същият е търпял негативни последици от бездействието на администратора на лични данни. Правният интерес от водене на производството по делото не е отпаднал за физическото лице, чийто лични данни не са били заличени, предвид бездействието на администратора на лични данни и отказа в един продължителен период от време да уважи подаденото от него искане. За субекта на лични данни е налице правен интерес да установи с влязло в сила решение неблагоприятното засягане на правната му сфера в този период и настъпилите за него правни последици. Не е налице хипотезата на отпаднал правен интерес за Т. от доказване на твърдяното нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД с влязло в сила решение по подадената от него жалба по чл.39, ал.1 от ЗЗЛД срещу администратора на лични данни - АВ, поради което предприетите действия по заличаването, непосредствено преди произнасяне на касационната инстанция не могат да заличат с обратна сила това неблагоприятно засягане. Същият има правен интерес да установи незаканосъобразността на тези действия/бездействия с влязло в сила решение и да получи предвидената защита по чл.39, ал.1 от ЗЗЛД по реда на Административнопроцесуалния кодекс от съда. На следващо място АВ в качеството й на касационен жалбоподател разполага с предвидената в чл.214, ал.1 от АПК процесуална възможност да оттегли или се откаже изцяло или отчасти от оспорването до приключване на касационното производство, от която не се е възползвал и касаторът не е оттеглил и не се е отказал от касационната си жалба. По изложените съображения не са налице основания за прекратяване на производството по делото. За да се произнесе по съществото на подадената касационна жалба, съдът намира следното: Предмет на оспорване пред АС - Бургас по жалба от К. Т. е изричен отказ на АВ, обективиран в писмо с 94 - 00 - 1018/17.11.2022г., постановен по подадено от него заявление с рег. 94 - 00- 1018/10.11.2022 г. Със заявлението си Т. е упражнил правото са на изтриване пред АВ като е направил искане за заличаване на личните му данни : ЕГН, публикувани в учредителен акт в поле "Актуален учредителен акт" по партидата на дружеството "Старлайт Инженеринг"" ЕООД в качеството му на управител. С оспореното пред АС - Бургас писмо, АВ е уведомила жалбоподателя, че същата обработва личните данни като получател , а дружеството, за което документите се отнасят, е администратор на личните данни на физическите лица, съдържащи се в подаваните в агенцията документи за целите на вписването по смисъла на чл. 4, § 1, т. 7 от ОРЗД и същото носи отговорност да предостави за вписване актове, които са със заличени данни, съответно да предприеме действия за съобразяване на данните с принципите за минимализъм и пропорционалност, уредени в чл. 5 от ОРЗД. Последното е аргументирано с нормата на чл. 13, ал. 6 от ЗТРРЮЛНЦ, съгласно която заявителят представя и заверени преписи от актовете, подлежащи на обявяване в търговския регистър, в които личните данни, освен тези, които се изискват по закон, са заличени. Посочено е още, че АВ няма право да извършва действия по вписвания и заличавания, извън дадените й по закон правомощия в рамките на регистърното производство, т.е. не разполага с възможност да откаже приемането на документи за обявяване, поради обстоятелството, че в тях се съдържат лични данни, които не се изискват по закон и не са заличени, или да заличи такива данни от представени за вписване документи. При така установеното от фактическа страна съдът е направил извод, че при наличието на изрично заявено оттегляне на съгласието на субекта на данни, както и установените данни за незаконосъобразно обработване на тези данни, надлежно отправено искане за изтриване на тези лични данни от свързания с тях субект и при липсата на някое от изключенията, предвидени в чл.17, §3 от ОРЗД, ответникът в нарушение на разпоредбите на чл.2, ал.2 от ЗТРРЮЛНЦ и чл.17, §1, б. б и б. г от ОРЗД е отказал да изтрие/заличи публикуваните лични данни на жалбоподателя. С оглед установените факти и след обстоен анализ на относимите норми съдът е приел, че оспорения отказ е незаконосъобразен, като постановен в противоречие с материалния закон, поради което следва да бъде отменен и преписката да бъде изпратена на Агенция по вписванията като администратор на лични данни за ново произнасяне по заявлението на Т.. При направената служебна проверка по чл.218, ал.2 АПК, настоящият съдебен състав намира решението за валидно и допустимо. Представените в касационното производство доказателства за заличаване на лични данни на Т. от АВ не сочат за недопустимост на съдебното решение, тъй като нямат достоверна дата от преди постановяването му, заличаването е след постановяване на решението на АС и образуване на касационното производство, поради което не обосновават извод за порок на съдебния акт. Решението е правилно. Съдът е установил правилно фактическата обстановка и въз основана на нея е направил правилни и законосъобразни изводи, които се споделят изцяло от настоящата инстанция. Приетата от съда фактическа обстановка се подкрепя от събраните по делото доказателства. Извършеният анализ на събраните доказателства е задълбочен, а приетата за установена фактическа обстановка напълно кореспондира с тях. Правните изводи са аргументирани. Заявлението за заличаване на лични данни е подадено от Т. в качеството му на субект на данни по смисъла на чл. 4, параграф 1 от ОРЗЛД, а не в качеството му на представляващ дружеството. В качеството си на субект на данни той разполага с правата по чл. 15 22 от ОРЗЛД, чиято ефективна съдебна защита е гарантирана с разпоредбите на чл. 79 от ОРЗЛД. Именно субектите на данни са легитимираните по смисъла на ОРЗЛД лица, в полза на които са предвидени правата по чл. 15 22 от същия с оглед обработване на личните им данни в съответствие с изискванията и принципите, установени в същия акт на Съюза. Неоснователни са наведените доводи от касатора, че АВ е получател на лични данни предоставяни от заявителите в хода на регистърното производство. Съдът правилно е приел, че съгласно чл. 4, параграф 7 от ОРЗД администратор на лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Обработване на лични данни по определението на чл. 4, параграф 2 от ОРЗД, означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Съгласно чл. 3 и чл. 11 от ЗТРРЮЛНЦ АВ води, съхранява, осигурява автоматизирано подаване на информация за вписаните търговци, клонове на чуждестранни търговци, юридически лица с нестопанска цел и клоновете на чуждестранни юридически лица с нестопанска цел и свързаните с тях обстоятелства и обявените актове в търговския регистър и в регистъра на юридическите лица с нестопанска цел, на Националната агенция за приходите, както и на други субекти, определени със закон; осигурява свободен и безплатен достъп до базата данни, съставляваща регистрите; осигурява регистриран достъп до делото на търговеца или на юридическото лице с нестопанска цел; осигурява свободен и безплатен достъп до вписаните обстоятелства и обявените актове и чрез системата за взаимно свързване на регистрите. Следователно АВ попада в определението за администратор на лични данни по смисъла на чл. 4, параграф 7 от ОРЗД, независимо от това, че получава актовете и данните от друго лице заявител по смисъла на ЗТРРЮЛНЦ. Съгласно решение на СЕС от 04.10.2024г. по дело С-200/2023г. органът, на който е възложено воденето на търговския регистър на държава членка и който публикува в този регистър личните данни, съдържащи се в дружествен договор, който подлежи на задължителното оповестяване по Директива 2017/1132 и му е предоставен във връзка със заявление за вписване на съответното дружество в регистъра, е както получател на тези данни, така и в частност доколкото ги обявява техен администратор по смисъла на тази разпоредба, включително когато договорът съдържа лични данни, които не се изискват от Директивата или от правото на тази държава членка. В случая, както правилно е приел първоинстанционният съд, АВ е сезирана в качеството й на администратор на лични данни, а не като орган компетентен да проведе производството по регистрацията, воденето, съхраняването и достъпа до търговския регистър и до регистъра на юридическите лица с нестопанска цел, както и действието на вписванията, заличаванията и обявяванията в тях. АВ, като администратор на лични данни, е сезирана от физическо лице с искане да бъдат изтрити негови лични данни, обявени на сайта на Търговския регистър, поле Актуален учредителен акт по партидата на "Старлайт Инженеринг ЕООД. Поради това при постановения отказ е възникнало право на обжалване по реда на чл.39, ал.1 ЗЗЛД за Т.. Като ответник по жалбата правилно е конституирана АВ, без да са налице основания за конституиране на друг администратор на лични данни като страна в производството, каквото оплакване е формулирал касаторът. Следва да се посочи, че в АПК има специални норми за конституиране на страни - чл.162, ал.2 АПК вр. чл.153, ал.1 АПК, които не са нарушени от АС. При преценката относно характера и правното действие на оспореното писмо, следва да се съобрази и предвидената в чл. 79 на Регламент (ЕС) 2016/679 специална уредба на правото на ефективна съдебна защита срещу администратор на лични данни. Съгласно цитираната разпоредба, без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по настоящия регламент са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с Регламента. На правото по чл. 79 от Регламента съответства разпоредбата на чл. 39, ал. 1 от ЗЗЛД, чиято редакция гласи, че при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. За допустимостта на жалбата е без значение правният характер на конкретното действие, бездействие или акт на администратора на лични данни, по повод на което се твърди нарушение на установени в Регламента права. Неоснователно е наведеното от касатора твърдение, че дружеството не е изпълнило свое задължение да представи заверен препис от акта, подлежащ на вписване, в който личните данни, освен тези, които се изискват по закон, са заличени. Пред АВ са предоставени личните данни, но в случая тя ги обработва. Публикуването на лични данни в интернет сайт, съгласно чл.4, т.2 Регламент(ЕС) 2016/679 е обработване, тъй като е операция с лични данни, като регламентът включва в това определение и автоматичните операции, предвид което задължението е на администратора - АВ. Съгласно цитираното по горе решение на СЕС С-200/2023 Директива 2017/1132, и по-конкретно чл. 16 от нея, както и чл. 17 от Регламент 2016/679 трябва да се тълкуват в смисъл, че не допускат правна уредба или практика на държава членка, която предполага органът, на който е възложено воденето на търговския регистър на тази държава членка, да отхвърля всяко искане за изтриване на неизисквани от Директивата или правото на държавата членка лични данни, съдържащи се в публикуван в регистъра дружествен договор, когато в противоречие с предвидените в тази уредба процесуални правила не му е предоставен препис от договора със заличаване на тези данни. Настоящият състав не споделя становището на КЗЛД рег. ПНМД-01-116