Решение № 12241 от 1.12.2025 г. на ВАС по адм. д. № 3341/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба, подадена от Софийски районен съд /СРС/, чрез процесуален представител, против решение 2966/29.01.2025г., постановено по адм.д. 6773/2024г. на Административен съд София-град /АССГ/, с което е отхвърлена жалбата на СРС срещу Решение ЛДС-23-3/20.06.2024г. на Инспектората към Висшия съдебен съвет /ИВСС/.

Касаторът навежда доводи за недопустимост на обжалваното решение в частта, в която съдът се е произнесъл по жалбата на СРС в частта й срещу Решение ЛДС-23-3/20.06.2024г. на ИВСС по т.2.2. от същото, неправилност на съдебното решение в останала му част (т.1 и т.2.1.) като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменително основание съгласно чл.209, т.2 и т.3 от АПК.

Моли решението да бъде обезсилено, евентуално отменено в обжалваната част. Подробни съображения излага в касационната жалба. Претендира разноски.

Ответната страна- Инспектората към Висшия съдебен съвет, чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Моли решението на АССГ да бъде потвърдено в частта, в която съдът се е произнесъл по първата наложена ПАМ. Не претендира разноски.

Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба в частта за неправилност на съдебното решение поради необоснованост в частта за т.1.1., и за основателност на касационната жалба в частта на недопустимост на съдебното решение в частта за т.2.2. от АА.

Настоящият състав на Върховния административен съд, пето отделение, приема, че касационната жалба е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е основателна.

С Решение ЛДС-23-3/20.06.2024г., ИВСС в производство по реда на чл.94з от ПОДИВСС, образувано по уведомление с вх.23862/29.08.2023г. от СРС в качеството му на администратор на лични данни, във вр. с правомощията на ИВСС по чл.54, ал.2 ЗСВ, чл.58, ал.1, б.б от Общ регламент за защита на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г./ОРЗД, Регламента/ и чл.17, ал.1 ЗЗЛД вр. чл.33 ОРЗД, и на осн. чл.19, ал.2 и ал.3 ЗЗЛД във вр. с чл.17а, ал.1, т.2 ЗЗЛД:

1. Приема, че на 19.07.2023г. СРС, в качеството му на администратор на лични данни и при обработване на личните данни по гр.д. 13103/2023г. е допуснал нарушение на принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е" от Регламент (ЕС) 2016/679, а именно не е гарантирал подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване, като не е приложил подходящи технически и организационни мерки /"цялостност и поверителност"/. С публикуването на протокол 18467 по гр.д. 13103/2023г. на 19.07.2023г., в чието съдържание не е заличена информацията за трите имена, възрастта и номер на документа за самоличност на физическото лице, е станало възможно разкриването на личните данни на лицето до неограничен кръг лица. Доколкото такова неправомерно обработване е осъществено, очевидно администраторът на лични данни не е предприел подходящи технически и организационни мерки, за да защити данните на лицето от неправомерно разпространение, следователно не е изпълнил в достатъчна степен задължението си по чл.32, §1 от Общия регламент да приложи подходящи технически и организационни мерки за осигуряване ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, което е направило възможно извършването на нарушение на сигурността, довело до неразрешено разкриване на личните данни.

1. С оглед характера и степента на извършеното нарушение, на основание чл. 84, ал. 1 и 2 ЗЗЛД във връзка с чл. 58, § 2, б. б и б. г от Регламент (ЕС) 2016/679, Инспекторатът към ВСС налага на администратора на лични данни СРС принудителни административни мерки:

1. Отправя официално предупреждение до администратора СРС по чл. 58, § 2, б. б от Регламент (ЕС) 2016/679 за допуснатото нарушение на чл. 5 § 1 б. "а" и б. "е" и чл. 32, § 1 от Регламент (ЕС) 2016/679;

1. Разпорежда на Софийски районен съд, на основание чл. 58, § 2, б. г от Регламент (ЕС) 2016/679, да съобрази операциите по обработването на лични данни, както следва:

-Да разработи вътрешни правила, уреждащи компетенциите и реда, по който отделните съдебни секретари, съдебни деловодители, системни администратори или съдиите, ще участват в процеса на публикуване на съдебните актове, като се разпределят и техните отговорности. Да се актуализират длъжностните характеристики на съдебните служители в СРС, на които са вменени конкретни задължения, свързани с процедурата по обезличаване на съдебните актове в ЕИСС и АСУД, публикуване на съдебните актове в интернет страницата на съда, извършване на корекции в съдържанието или изтриване на вече публикуван съдебен акт;

-Да изготви и поддържа регистър на операциите по изтриванията, извършени в ЕИСС, който да осигурява проследимост, контрол и управление на действията на служителите със съответните права. Да се допълни съдържанието на образеца на Искане за извършване на корекции, приложение към заповед АС-147/25.06.2016г. и в него се отбележат дата на искането, кога е извършено изтриването в системата, кой е извършил действието по изтриване;

-Да предвиди във вътрешните Правила за мерките и средствата за защита на личните данни, обработвани в СРС, технически и организационни мерки за гарантиране на поверителността на личните данни, предвиждащи извършване на периодични проверки за достъпване на информация по делата от неоправомощени служители, които са обаче потребители в ЕИСС, в нарушение на принципа необходимост да се знае.

За да постанови решение 2966/29.01.2025г. АССГ е приел, че ИВСС е компетентният административен орган да установи съответните нарушения по ЗЛЛД и ОРЗД, и да наложи процесната ПАМ, като липсва предпоставка за отмяна на оспорения ИАА по см. на чл.168, ал.1, вр. чл.146, т.3 АПК, и не е налице незаконосъобразност на решението на ИВСС по см. на чл.168, ал.1, вр. чл.146, т.4 АПК.

Приел е за безспорно установено, че при осъществяване на дейността по публикуване на правни актове, от служител от СРС е осъществено, при автоматично залагане на данни от съдебен протокол 18467 от 19.07.2023г. в системата на ЕПЕП, като е допуснато неразрешено разкриване на трите имена, възрастта и номер на документа за самоличност на едно ФЛ, пред неограничен кръг лица.

Съдът е счел, че СРС безспорно притежава качеството администратор на лични данни по см. на чл.4, т.7 ОРЗД.

АССГ е приел за недоказано СРС да е действал от името на друго юридическо лице-администратор- ВСС, като администратор на сървъра и поддържащ информационната система ЕПЕП.

Според съда, след като съответният служител на СРС, качващ протокола, има възможност за ръчна корекция на данните и заличаване на личните такива при установяването им няма никакво съмнение, че СРС действа не от името на друг администратор на лични данни, а от свое име обработва самостоятелно личните данни по делата.

Съдът е пиел за установено, че липсват конкретни правила относно начина на процедиране на служителите и то по конкретните дела при обработка на данните.

АССГ е достигнал до извод, че за да обезпечи приложението на разпоредбата на чл.64 ЗСВ и да гарантира, че публикацията на съдебните актове е съобразена с ограниченията на ЗЗЛД и ЗЗКИ, ИВСС правилно е приел, че следва да се укаже на администратора на лични данни СРС да разработи вътрешни правила, уреждащи компетенциите и реда, по който отделните съдебни секретари, съдебни деловодители, системни администратори или съдиите ще участват в процеса на публикуване, като се разпределят и техните отговорности.

Съдът е намерил, че формулираните и наложени мерки по т.1 и т.2 от Решение ЛДС-23-3/20.06.2024г. на ИВСС, безспорно биха съдействали за преодоляване на дефицита на защита на лични данни, допуснат от администратора на лични данни при обработването им, оспореният акт е съответен на целта на закона- чл.1, ал.2, вр. чл.2, ал.2 ЗЗЛД, да гарантира неприкосновеността на личността и личния живот, чрез осигуряване на защита на ФЛ и ЮЛ при неправомерно обработване на свързаните с тях лични данни.

При извършената служебна проверка по реда на чл.218, ал.2 АПК настоящият съдебен състав намира, че обжалваното съдебно решение е недопустимо, поради произнасяне на съда при неизяснен предмет на първоинстанционното производство.

В жалбата на СРС до първостепенния съд са наведени доводи за недопустимост, неправилност и необоснованост на Решение ЛДС-23-3/20.06.2024г. на ИВСС, като е оспорено приетото от ИВСС в т.1 от решението, и наложените ПАМ по т.2.1 и т.2.2 от решението.

Разпоредителната част на Решение ЛДС-23-3/20.06.2024г. на ИВСС, състояща от т.2.1 и т.2.2, предвид характера на акта е в корелация с т.1 от същия, в която се съдържат фактически установявания и правни основания, без които частта на този акт по см. на чл.59, ал.2, т.5 АПК е безпредметна.

С разпореждане 14718/14.08.2024г. по адм.д.6773/2024г. АССГ приема, че с жалбата се оспорва решението в 2 части- по т.1.1, с която се налага ПАМ Отправя се официално предупреждение и по т.2.2, с която се налага ПАМ-съобразяване на операциите по обработване на лични данни по посочен начин, на осн. чл.58, §2, б. г от Регламента, и приема, че разглеждането на двата акта е недопустимо в едно административно дело, предвид затрудненията при разглеждането му, като същото следва да се раздели и по настоящото дело се разгледа жалбата срещу решението му по т.1.1.

В това разпореждане съдът насрочва разглеждането на делото в ОСЗ, конституира страните, и разделя производството по делото, като пред АССГ, 33 състав е оставена за разглеждане жалбата на СРС в частта й срещу решението на ИВСС по т.1.1. от същото, с която се налага ПАМ Отправя се официално предупреждение.

Видно е, че съдът допуска цялостно опущение относно предмета на оспорване по делото: т.1. от Решение ЛДС-23-3/20.06.2024г. на ИВСС остава извън приетия от съда предмет на оспорване, като в решението на ИВСС няма т.1.1. - възприета от съда за оспорена, а видно от изписването в разпореждането, че с т.1.1. се налага ПАМ Отправя се официално предупреждение съдът де факто приема, че предмет на оспорване по делото е т.2.1. от решението на ИВСС. Същевременно в постановеното по делото решение 2966/29.01.2025г., съдът се произнася по т.2.2. от решението на ИВСС, която същия съд с разпореждане 14718/14.08.2024г. е изключил от предмета на оспорване.

Предвид изложеното, настоящият съдебен състав на ВАС намира, че решението на АССГ трябва да бъде изцяло обезсилено, а делото върнато за ново разглеждане от друг състав на същия съд, който трябва да изпълни задълженията си по чл.158 АПК вр. чл.150, чл.153 и чл.154 АПК, и ако е необходимо остави производството по делото без движение, като установи кой е оспорения от СРС акт, в кои части този акт се оспорва, съответно допустимо ли е разделяне на производството по делото относно оспорване отделни части на този акт, с оглед неговия характер, и постанови съдебен акт след като разгледа акта, предмет на оспорване, за законосъобразност по реда на чл.168, ал.1 АПК на всички основания по чл.146 АПК, като при произнасянето си по съществото на спора, съдът трябва да съобрази следното:

В т.2.1. от Решение ЛДС-23-3/20.06.2024г., ИВСС, по реда на чл.17, т.1 ЗЗЛД и на осн. чл.84 ЗЗЛД, вр. чл.58, §2, б.б и б.г ОРЗД, за допуснато нарушение на чл.5 §1 б.а и б от Регламента е приложил мярката по чл.58, §2, б.б ОРЗД- отправил е официално предупреждение до администратора СРС.

Предвид посочените от ИВСС правни основания в тази част от оспореното Решение ЛДС-23-3/20.06.2024г., се изисква изследване и установяване на релевантните за спора факти и приложимата материалноправна уредба.

За конкретния казус това означава отговор на въпроса субектът, извършил действието по обезличаване и публикуване на протокол от ОСЗ от 19.07.2023г. по г.д.13103/2023г. на СРС-83 състав, в какво качество е извършил това действие и на основание кой нормативен акт.

Съответно какво е отношението на СРС към този субект и извършеното от него действие с оглед разпоредбите на чл.64, ал.1 и ал.3 и Глава осемнадесета а, Раздел I от Закон за съдебната власт/ЗСВ/, както и разпоредбите на приложимата Наредба 4 от 16 март 2017 г. за воденето, съхраняването и достъпа до регистъра на актовете на съдилищата /Наредбата/, по специално тези на чл.1, ал.2 от Наредбата, чл.3, ал.1 и ал.2, чл.13, ал.1, т.1 и т.2, чл.13, ал.2 и чл.14, ал.1, чл.21, ал.1, чл.23 и чл.25 от Наредбата.

След установяване на горното трябва се отговори на относимия към спора въпрос кой е администраторът и обработващия лични данни по см. на чл.4, т.7 и т.8 ОРЗД, за когото е налице нормативно установено задължение за осигуряване съхраняването и достъпа до регистъра на съдилищата, кой субект извършва действия по обявяване в регистъра и кой обезличаване на съдебните актове. Съответно кой е задължения субект и в какво качество по см. на чл.4 ОРЗД действа при предприемането на мерки за гарантиране невъзможността за идентифициране на физическите лица в публикуването на съдебните актове и протоколи, а също така кой субект по действащата нормативна уредба е задължен да вземе подходящи мерки за сигурност в съответствие с общоприети в международната практика стандарти, технически спецификации и препоръки, които да осигурят условия, при които обработваните (по см. на чл.4, т.2 ОРЗД) данни да не подлежат на неправомерен или случаен достъп.

В тази връзка са въпросите: представлява ли операцията по обезличаване на лични данни в съдебния протокол обработване по см. на ОРЗД, обработвал ли е СРС или друг субект личните данни в съдебния протокол, и ако да- в какво качество- на администратор или на обработващ по см. на ОРЗД във вр. с еднозначно определеното в т.2.1. от решението на ИВСС качество на СРС, а именно: администратор на лични данни, на който е наложена процесната ПАМ във вр. с приложената от ИВСС разпоредба на чл.58, §2, б.б от Регламента, изискваща разграничение на качеството на субекта, спрямо когото са упражнени корективни правомощия; В конкретния казус извършено ли е нарушение на принципите, свързани с обработването на лични данни по см. на възприетите от ИВСС хипотези на чл.5 §1 б.а и б от Регламента, кой субект е извършил нарушението и в какво качество, и кой субект с оглед конкретните факти по делото във вр. приложимите материалноправни норми може да е адресат на ПАМ по см. на ОРЗД.

Трябва да се изследва и установи кой е задължения субект да съобрази стандартите и политиките за съхранение и архивиране на данни в публични информационни системи с установените общи нормативни изисквания за електронно правосъдие по ЗСВ, при което съответния софтуер, отговарящ за последователността от операциите по обезличаване на данните, да не допусне при хипотеза на грешка от страна на опериращия системата субект- физическо лице, погрешно въведената от него информация, представляваща лични данни по см. на ОРЗД, да бъде видима от трети лица, т.е. ограничението по чл.13, ал.1 от Наредбата да е гарантирано чрез софтуерна превенция, дори в случаите на чл.13, ал.3 от Наредбата. В тази връзка първостепенният съд трябва да съобрази приложимо ли е разрешението, дадено в Решене на СЕС от 14.12.2023г. по дело С-340/21, с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Върховен административен съд (България) с акт от 14 май 2021 г., постъпил в Съда на 2 юни 2021 г., в рамките на производство по дело VB срещу Национална агенция за приходите, ECLI:EU:C:2023:986, относно особеностите на обработването на лични данни в процесния случай.

След изясняване на посочените относими към предмета на спора обстоятелства, ще може да се даде отговор на въпросите относно наличието и изпълнението в процесния случай на задълженията на СРС по чл.32, §1 ОРЗД, свързани със сигурността на обработваните лични данни, и възприетите правни основания от ИВСС за налагане ПАМ на касатора по т.2.1, включително упражнените корективни правомощия от ИВСС по т.2.2., т.е. относно законосъобразността на оспорения акт и съответствието на същия с целта на закона

Необходимите фактически установявания трябва да се извършат при изпълнение задължението на съда по 168, ал.1 вр. чл.170 и чл.171 АПК чрез изискване ако е необходимо на документи, съдържащи относими за спора факти, при даване конкретни указания до страните за представяне на допустимите и относимите към решаване на спора доказателства съобразно разпределението на доказателствената тежест в процеса, евентуално чрез използване на специални знания на ВЛ, но относими към изясняване релевантните за спора факти, и след съвкупна преценка на всички относими събрани по делото доказателства, след което съдът изложи мотиви относно компетентността на органа, издал оспорения акт, съответствие на акта с процесуалноправните, материално правните норми и с целта на закона, включително приложими ли са в случая възприетите от АО материалноправни разпоредби на ОРЗД спрямо субекта, адресат на процесните ПАМ.

При този изход на спора не се възлагат разноски за производството пред настоящата инстанция. Възлагането им следва да бъде осъществено съгласно чл.226, ал.3 АПК при новото разглеждане на делото.

По изложените съображения и на основание чл.221, ал.3 АПК, Върховният административен съд, пето отделение