Решение № 12333 от 12.12.2023 г. на ВАС по адм. д. № 2709/2023 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Тип Топ куриер АД, чрез адв. Тихомирова, срещу Решение 7836 от 19.12.2022 г., постановено по адм. дело 6791/2022 г. по описа на Административен съд София - град /АССГ/, с което е отхвърлена жалбата му против Решение ППН-02-384 от 21.06.2022 г. на Комисията за защита на личните данни /КЗЛД, Комисията/. Касационният жалбоподател обжалва решението с доводи, че то е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано отменителни основания по чл. 209, т. 3 от АПК. Касаторът оспорва изводите на съда, че не са предприети мерки за преустановяване на достъпа до информация, тъй като в случая не се касае за база данни, която е поддържана от франчайз партньор на Тип Топ Куриер АД. Твърди, че куриерската фирма е оценила рисковете, свързвани с обработването на личните данни, които биха могли да доведат до случайно или неправомерно унищожаване, загуба на писмата до потребителите на комуналната услуга, противно на възприетото от административния съд. Сочи, че въпреки представените доказателства за липса на сигнал за издадени от Овергаз Мрежи АД, но недоставени фактури, съдът е направил неправилен извод, че жалбоподателят не е имал изграден механизъм за установяване на нарушението. Счита, че в случая няма реално регистриран достъп до информация, а само непотвърден сигнал на полуанонимно лице за разпилени фактури с непотвърдени дати и неясни адресати. Твърди, че не е известен автора на деянието, нито е установено разпитаното лице, подало сигнала. Счита, че както първоинстанционното решение, така и решението на КЗЛД са постановени при неправилно приложение на процесуалните правила, доколкото нормата на чл.38, ал.1 от Закона за защита на личните данни/ЗЗЛД/ е неприложима за конкретния случай. Моли обжалваното решение да се отмени. Претендира разноски. Представя списък на разноските. В открито съдебно заседание касаторът се представлява от адв. Ганчев и адв. Тихомирова. Ответникът - Комисия за защита на личните данни, представлявана в открито съдебно заседание от юрисконсулт Тодоров оспорва касационната жалба като неоснователна. Счита, че постановеното решение е правилно и следва да бъде оставено в сила. Не претендира разноски. В определен от касационната инстанция срок представя писмени бележки по съществото на спора, в които за първи път прави искане за присъждане на юриск. възнаграждение. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, тричленен състав на Пето отделение, като прецени наведените в жалбата касационни основания и доказателства по делото, приема за установено следното: Касационната жалба е подадена в преклузивния срок по чл. 211, ал. 1 от АПК и от надлежна страна по смисъла на чл. 210, ал. 1 от АПК, спрямо която първоинстанционното решение е неблагоприятно, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна. Предмет на контрол за законосъобразност пред АССГ е Решение ППН-02-384 от 21.06.2022 г. на КЗЛД, с което основание чл. 58, § 2, буква г и буква и във връзка с чл. 57, § 1, буква а и чл. 83, § 2, букви а, в, г, е, ж, и и к от Регламент (ЕС) 2016/679 по т.1 на администратора на лични данни Тип-Топ Куриер АД, [ЕИК] е наложено административно наказание - имуществена санкция в размер на 50 000 (петдесет хиляди) лева, за нарушение на чл. 5, § 2 от Регламент (ЕС) 2016/679, на основание чл. 58, § 2, буква и от Регламент (ЕС) 2016/679, определяйки размера на наказанието съобразно чл. 83, § 5, буква а от Регламент (ЕС) 2016/679; по т.2 на администратора на лични данни Тип-Топ Куриер АД, [ЕИК], е наложено административно наказание - имуществена санкция в размер на 15 000 (петнадесет хиляди) лева, за нарушения на чл. 32, § 1, буква г и чл. 32, § 4 от Регламент (ЕС) 2016/679, определяйки размера на наказанието съобразно чл. 83, § 4, буква а от Регламент (ЕС) 2016/679; по т.3 на администратора на лични данни Тип-Топ Куриер АД, [ЕИК] е издадено разпореждане на основание чл. 58, §2, б. г от Регламента да съобрази операциите по обработване на лични данни с разпоредбите на Регламент (ЕС) 2016/679 в шест месечен срок от влизане в сила на решението, като след изтичане на указания срок да уведоми КЗЛД за изпълнение на разпореждането, като представи съответните доказателства. Решението е постановено, след като в КЗЛД е получен сигнал с вх. ППН-02-38/02.08.2021 г. от В. Ганев, че на 31.07.2021 г. докато е изхвърлял боклук е попаднал на изхвърлени десетки писма на Овергаз Мрежи АД до техни абонати в контейнер за битови отпадъци, като е приложен снимков материал. КЗЛД е извършила проверка по сигнала, в резултат на която са установили, че от Тип-Топ Куриер АД не са предоставени документи и/или доказателства във връзка с т. 8 от Споразумението за обработка и защита на лични данни относно заличаване или връщане на лични данни на администратора по прекратените договорни отношения с Георгиев 58 ЕООД. Прието е, че в резултат на тези действия дружеството е нарушило разпоредбите на чл. 5, § 2 от Регламент (ЕС) 2016/679. Установено е, че от Тип Топ Куриер АД не са предоставени документи, удостоверяващи извършването на проверка и оценка на предприетото от франчайз партньорите и/или подизпълнителите ниво на сигурност и защита на личните данни преди възникване и по време на договорните отношения и въпреки регламентираното в чл. 4 от Споразумението за обработка и защита на лични данни за извършването на проверки от страна на пощенския оператор, във връзка с обработването на личните данни, като в резултат тези действия дружеството е нарушило разпоредбите на чл. 32, § 1, буква г и чл. 5, § 2 от Регламент (ЕС) 2016/679 (Регламента). Установено е още, че обработването на лични данни между двете дружества Тип - Топ Куриер АД и Кристо Ди ЕООД не е уредено с договор или друг правен акт, който да регламентира предмета и срока на действие на обработването, естеството и целта на обработването, вида лични данни и задълженията и правата на администратора, предприетите мерки за сигурност на обработването и т.н., като в резултат на тези действия дружеството е нарушило разпоредбите на чл. 28, § 3 от Регламент (ЕС) 2016/679. По време на проверката не са представени документи от Тип Топ Куриер АД, удостоверяващи проведени обучения на служителите на дружеството и служителите на франчайз-партньорите за защита на личните данни през 2018 г., 2020 и 2021 г., както и такива, удостоверяващи, че съответните служители са запознати с Политиките за обработване и защита на личните данни. Комисията е приела, че в резултат на тези действия дружеството е нарушило разпоредбите на чл. 32, § 4 и чл. 5, § 2 от Регламент (ЕС) 2016/679. На следващо място, КЗЛД е установила и нарушения на разпоредбите на чл.32, §1, буква г и чл.5, §2 от Регламента, тъй като от Тип Топ Куриер АД не са предоставени документи за извършени оценка на риска и оценка на въздействие върху защитата на данните във връзка със сигнала на В. Генев и нарушението на сигурността на данни на клиенти на Овергаз Мрежи АД. КЗЛД е приела, че администраторът следва да отговаря за изготвянето на оценка на въздействието върху защитата на личните данни, за да се оценят по - специално произходът, естеството, спецификата и степента на този риск. Комисията е установила още, че нарушенията на Тип Топ Куриер АД в качеството му участник в състава на неюридическо лице по смисъла на Търговския закон като изпълнител по обществена поръчка с Овергаз Мрежи АД, са свързани с непредставяне на документи и/или доказателства за превъзлагането (и предоставянето на данни на трети лица) от страна на пощенския оператор на дейностите по доставката на пратките до адресати на клиенти чрез използването на франчайз - партньори и конкретно превъзлагането на доставките на Георгиев 58 ЕООД за района на гр. Велико Търново. Утвърдената от изпълнителния директор Инструкция за защита на личните данни, обработвани от Тип-Топ Куриер АД, издадена на основание чл. 23, ал. 4 от ЗЗЛД, не е актуализирана във връзка с влизането в сила на Регламент (ЕС) 2016/679, като в резултат тези действия КЗЛД е приела, че дружеството е нарушило разпоредбите на чл. 32, § 1, буква г и чл. 5, § 2 от Регламент (ЕС) 2016/679. За да отхвърли жалбата на Тип Топ Куриер АД решаващият съд е приел, че оспореното решение на КЗЛД е постановено от компетентен орган, при наличието на законен състав и с необходимото мнозинство, в предвидената от закона писмена форма, без допуснати съществени нарушения на административнопроизводствените правила, в съответствие с материално правните разпоредби на закона и с целта му. Решението е правилно. Не са налице сочените от касатора касационни основания. Съдът е събрал относимите към спора доказателства, въз основа на които правилно е установил фактите по делото. Законосъобразни и обосновани са и правните му изводи. Правилно съдът е приел, че отговорността на администратора на лични данни Тип Топ Куриер АД е ангажирана за нарушение на чл. 32, §1, буква г, §4 и чл.5, §2 от Общия регламент за защитата на данните (ОРЗД). Целта на Регламент (ЕС) 2016/679 и Закона за защита на личните данни е гарантиране неприкосновеността на личността и личния живот чрез осигуряване на защита на физически лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните. В хода на административното производство е установено, че не са представени доказателства, установяващи спазване на изискванията за конфиденциалност от страна на служителите на франчайз партньори и/или подизпълнители. По делото не са налице доказателства за заличаването или връщане на лични данни на администратора Тип Топ Куриер АД във връзка с прекратените договорни отношения с Георгиев 58 ЕООД. Не са представени и доказателства по отношение на превъзлагането (и предоставянето на данни на трети лица) от страна на пощенския оператор на дейностите по доставката на пратките, като част от обществените поръчки с Овергаз Мрежи АД и Софийска вода АД, до адресати на клиенти чрез използването на франчайз - партньори и конкретно превъзлагането на доставките на Георгиев 58 ЕООД за района на гр. Велико Търново. По делото не са ангажирани доказателства, че утвърдената от изпълнителния директор Инструкция за защита на личните данни, обработвани от Тип-Топ Куриер АД, издадена на основание чл. 23, ал. 4 от Закона за защита на личните данни е актуализирана във връзка с влизането в сила на Регламент (ЕС) 2016/679. Въпреки регистрирания инцидент със сигурността на данните относно куриерски пратки на Хюлет - Пакърд Глоубъл Деливъри България Сентър ЕООД от Тип-Топ Куриер АД в хода на административното и съдебно производство, не са предоставени документи за извършени оценка на риска и оценка на въздействие върху защитата на данните във връзка със сигнала на Генев и нарушението на сигурността на данни на клиенти на Овергаз-Мрежи АД. По делото не са налице доказателства, от които да е видно, че Тип Топ Куриер АД като администратор на лични данни, е взел необходимите мерки неговите служители, които имат достъп до личните данни, необходими за предоставяне на пощенската услуга, да ги обработват съобразно утвърдените в дружеството правила, и да са били проведени обучения на служители на фирмата и служители на франчайз - партньорите за защита на личните данни през 2018 г., 2020 г. и 2021 г. При разглеждане на жалба за нарушение при обработване на лични данни, какъвто е процесният случай, от КЗЛД се преценява дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. Противно на твърденията, изложени в касационната жалба, следва да се отбележи, че в производството пред КЗЛД не е предмет дали са намерени разпилени фактури с непотвърдени дати и неясни адресати, а дали администраторът на лични данни е изпълнил задълженията си по ОРЗД за защита на данните, които обработва. В случая правилно Комисията е установила нарушение на задължението на Тип Топ Куриер АД ООД като администратор на лични данни по чл. 32, § 4 от Регламент 2016/679. Изложените в касационната жалба съображения за допуснати съществени нарушения на съдопроизводствените правила са необосновани. Съдът е изпълнил задължението си по чл. 170, ал. 3 от АПК, като е разпределил доказателствената тежест между страните. Обсъдил е представените от жалбоподателя (сега касационен жалбоподател) доказателства, като правилно е приел, че те не доказват, че администраторът на лични данни е предприел съответните мерки спрямо служителите и франчайз партньорите си, които гарантират спазването на принципите на обработка на личните данни. Правилно съдът е анализирал избраната от КЗЛД мярка по чл. 58, § 2, буква и, заедно с такава по чл.58 § 2, буква г от ОРЗД и правилно е приел, че те са най-подходящи и целесъобразни. С оглед така установените нарушения, правилно и в съответствие с приложимата нормативна уредба, на която се е позовала КЗЛД, на администратора на лични данни са наложени две имуществени санкции. В Решение ППН-02-384 от 21.06.2022 г. Комисията е обсъдила всички елементите на чл. 83, § 2 от Регламент 2016/679, при преценка размера на наложените имуществени санкции съобразени с тежестта на нарушенията от страна Тип Топ Куриер АД, които не се явяват прекомерни. Обжалваното решение не е необосновано. Съдът, въз основа на събраните доказателства, е възприел правилно всички относими факти и не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са последователни и логични, не си противоречат и се основават на правилен анализ на доказателствения материал. При липса на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора и липсата на своевременно заявена претенция от ответната страна/ направено е искане от юриск. Тодоров с писмени бележки, постъпили на 13.11.2023 г., след приключване на устните състезания/ разноски не следва да бъдат присъждани. Воден от горното и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, Пето отделение