Решение № 11308 от 23.12.2024 г. на Административен съд - Пловдив по дело № 2354/2024 г.

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), във вр. с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД). Образувано е по жалба на П. А. Г., в качеството на кмет на община-Раковски, чрез адв. М.Л.-пълномощник, против Решение № ППН-02-415А/19.09.2024г. на Председателя на Комисията за защита на личните данни (КЗЛД), с което за нарушение на чл. 83, § 4, буква „а“, във връзка с чл. 32, § 1, буква „г“ и чл. 32, §4 от Регламент (ЕС) 2016/679 е наложено административно наказание -„ Имуществена санкция“ в размер на 1700 лева. В жалбата се сочи, че обжалваният акт е издаден при допуснати нарушения в административнопроизводствените правила, които са опорочили процедурата до степен на незаконосъобразност, при неправилно установена фактическа обстановка и прилагане на материалния закон. Оспорва се и размерът на санкцията. В съдебно заседание жалбоподателят се представлява от адв. Л., която поддържа жалбата с изложените в нея възражения и моли да бъде уважена. Искането е съдът да отмени обжалвания административен акт и да се присъдят сторените разноски. Ответникът по жалбата – Председател на Комисията за защита на личните данни, чрез процесуален представител по пълномощие, оспорва жалбата и моли да се остави без уважение. Допълнителни съображения развива в представени по делото писмени бележки. Претендира присъждане на юрисконсултско възнаграждение. Административен съд - Пловдив, след като обсъди събраните по делото доказателства, поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното: В КЗЛД е постъпило постановление за отказ от образуване на досъдебно производство от 19.12.2023г., ведно с материалите по преписката от Районна прокуратура (РП) - Пловдив във връзка с постъпило искане за съдействие и проверка от В. Д. П. - кмет на с. Белозем, община-Раковски, обл. Пловдив, по повод съмнение за злоупотреба с лични данни, а именно изтичане на лични данни на физически лица от система ГРАО на Кметство село Белозем, общ. Раковски на 12.06.2023 г. Било е установено, че по силата на Трудов договор № 56 от 07.09.2016 г. М. С. С.-Т. е назначена на длъжност „Старши специалист ГРАО”, към кметската администрация на кметство Белозем, обл. Пловдив, като едно от основните ѝ длъжностни задължения е било обслужване на населението, свързано с гражданската регистрация и изготвяне на съответните актове в тази връзка. За изпълнение на служебната дейност С.-Т. е имала издаден електронен подпис и достъп до национална база данни на ГРАО, като същата е подписала декларация за поверителност и работа с лични данни. Служителката изпълнявала функциите си на служебен компютър, за който ѝ е предоставена парола в работно помещение, в сградата на кметство Белозем. На дата 12.06.2023г. М. С. С.-Т. получава обаждане на служебен телефон 03159/2038 от неизвестен тел. номер от лице, което се представя за Областен управител на Пловдив, като разговорът продължава от 11: 18 часа до 12: 20 часа. От Т. е поискана информация за множество лица, повечето от които починали, с адресни регистрации на територията на общините Раковски, Стара Загора, Свищов, Червен бряг, Неделино, Асеновград, Пловдив, Марица, Столична, Летница и други. Като се доверява, че исканата информация била от служебно лице в служебно качество за служебни нужди Т. прави исканите справки за лични данни и предоставя информацията на лицето, което по нейни думи се представя за В. Р., който по това време изпълнява длъжността зам. кмет по финанси и стопанска дейност на община Пловдив. Случилото се прави впечатление на колежките по стая - Б. и Н., както и на кмета В. П., която прави забележка на С.-Т. за предоставяната служебна информация без предварително писмено искане, както е по установения ред. Предвид това С.-Т. прекъсва втория телефонен разговор на сл. тел. номер 03159/2041, на който също имало обаждане. На служителката М. С. С.-Т., със Заповед № 52 от 13.06.2023 г. на кмета В. П. е било наложено дисциплинарно наказание „Уволнение” на основание чл. 188, т. 3 от КТ във връзка с чл. 190, ал. 1, т.7 от КТ и трудовото ѝ правоотношение било прекратено, считано от 13.06.2023 г. В снетото обяснение В. Р. сочи, че към месец юни 2023 г. е изпълнявал длъжността зам. кмет по финанси и стопанска дейност на община Пловдив, като заявява, че не познавал никой от кметство Белозем и не е звънял на никой от служителите или жители на с. Белозем за лични данни. В снетото по проверката обяснение М. С. С.-Т. заявява, че е направила въпросните справки по телефона, тъй като не предполагала, че някой може да се обади и да се представи в служебно качество за друг човек. От извършената проверка РП Пловдив е приела, че в конкретния случай не са налице достатъчно данни, от които може да се направи обосновано предположение за извършено престъпление от общ характер по чл.284, ал. 1 от НК. Постановен е отказ за образуване на досъдебно производство, а преписката е прекратена и изпратена по компетентност на Председателя на Комисията за защита на личните данни с оглед преценка ангажиране на съответната административнонаказателна отговорност за извършено нарушение на Закона за защита на личните данни от М. С. С.-Т.. По преписката е изискана и предоставена подробна справка - разпечатка относно извършените справки в Национална база данни от Главна Дирекция „ГРАО“ - София от служебния достъп на М. С.- Т., като е установено, че за периода от 08: 00 ч. до 16: 00 ч. на 12.06.2023 г. са извършени общо 138 справки на лица, като във въпросния часови диапазон (от 11: 18 ч. до 12: 20 ч.) М. С.-Т. е осъществила неправомерен достъп до личните данни на 23 лица. В предоставено обяснение от М. С.-Т. се посочва, че е направила справка по лице, което означава освен ЕГН, постоянен, настоящ адрес на лицето и неговите роднински връзки по права линия и семейно положение. В обяснението се излагат твърдения, че още когато е постъпила на работа на тази длъжност в кметство Белозем - през 2016 г. е заварила трайно установена практика служителите - колеги в ГРАО, в различни райони и общини, взаимно да си правят справки по телефона. При тези обстоятелства ответният административен орган е приел, че в община-Раковски в качеството на администратор на лични данни, при своята дейност не е отчетено естеството, обхвата, контекста и целите на обработването на личните данни и така да се предприемат необходимите организационни мерки за прилагане на контролен механизъм при обработване на лични данни. Последвало издаването на обжалваното решение. Съдът, като взе предвид направените в жалбата оплаквания и относимата нормативна уредба, намира от правна страна следното: Разгледана по същество, жалбата е неоснователна по следните съображения: Обжалваното решение е издадено от компетентен колективен орган съгласно чл. 38, ал. 3 от ЗЗЛД, прието е при необходимия кворум и с необходимото мнозинство - арг. чл. 9, ал. 3 от ЗЗЛД и чл. 8, ал. 6 и ал. 7 от Правилника за дейността на КЗЛД и нейната администрация. Съгласно чл. 7, ал. 1 от ЗЗЛД комисията е колегиален орган и се състои от председател и 4 членове, а решенията се вземат с мнозинство от общия брой на членовете (чл. 9, ал. 3). Същото следва да бъде подписано от всички членове, участвали в гласуването. В случая за оспореното решение са гласували трима със „за“ и нито един против, поради което безспорно е формирано мнозинство и решението е валидно взето. Вярно, че оспореният акт е взет от трима членове на нейния състав, но това не е нарушение, тъй като разпоредбата на чл. 8, ал. 3 от Правилника за дейността на КЗЛД и нейната администрация допуска заседанията на комисията да се провеждат, ако на тях присъстват най - малко трима от нейния състав. В тази връзка не е налице отменителното основание по чл. 146, т. 1 АПК. Спазена е установената от закона форма - актът е в писмена форма, посочени са фактическите и правни основания за издаването му. Същият съдържа изискуемите от разпоредбата чл. 59, ал. 2 реквизити. Оспореният акт съдържа ясна разпоредителна част и са посочени релевантните факти и обстоятелства. В производството не са допуснати съществени нарушения на административнопроизводствените правила. Същото е образувано в изпълнение постановление на районна прокуратура-Пловдив, което е във връзка с правомощията на КЗДЛ да разглежда сигнали срещу актове и действия на администраторите, с които се нарушават правата на физическите лица по ЗЗЛД. Събрани са всички необходими доказателства и са изяснени всички факти и обстоятелства по случая, поради което правилно е установена фактическата обстановка. Като допълнение следва да се посочи липсата на документи, констатиращи извършено нарушение, но производството е започнало по повод сезиране от прокуратурата. Административният акт е издаден в съответствие с материалния закон, със законосъобразни изводи на органа по отношение на приложимите правни норми. В настоящия случай община-Раковски е администратор на лични данни по смисъла на чл. 4, ал. 7 от Регламент (ЕС) 2016/679, тъй като обработва лични данни и определя целите за обработването им, а именно във връзка с извършване на предвидените в законите функции, услуги и дейности. В случая става дума за неправомерен достъп до личните данни на 23 лица. Тези данни позволяват идентифициране на субекта на данни, поради което същите представляват лични данни по смисъла на чл. чл. 4, ал. 1 от Регламент (ЕС) 2016/679. Според чл. 4, ал. 2 Регламент (ЕС) 2016/679 „обработване на лични данни“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Текстът на чл. 6, ал. 1, б. "д", предл. „второ“ от Регламент (ЕС) 2016/679 формулира, че е законосъобразно обработването на лични данни, ако това е при упражняването на официални правомощия, които са предоставени на администратора. Неоснователни са доводите на жалбоподателя, че комисията не е изяснила относимите по делото факти в тяхната цялост. Напротив, в процесното решение е съобразена оценката на риска за правата на субектите на лични данни, представена от жалбоподателя, липсата на електронната страница на общината на политика за поверителност във връзка с обработване на лични данни. Посочените документи са отчетени като липсващи, за да гарантират адекватна защита на личните данни. Не се споделя изложеното в жалбата по отношение на това, че комисията е административнонаказващ орган и не е дадена възможност да се изрази становище. Процесното решение не представлява акт за установяване на административно нарушение по смисъла на ЗАНН и не е необходимо да съдържа реквизитите на акта, с който се поставя началото на административнонаказателното производство. Личните данни в конкретния случай са били предоставени в разрез с нормите на Регламент (ЕС) 2016/679 на ЕП и на Съвета от служител на кметство Белозем, Община-Раковски, т.е. от орган на местната власт, който е в структурата на община-Раковски. Тези факти са могли да бъдат изяснени от жалбоподателя още на вътрешната проверка. Поради това е неоснователно твърдението на жалбоподателя, че КЗЛД му е възпрепятствала възможността да установи за какво се води проверка. Не е налице и противоречие на оспорения акт с материалния закон. Съгласно дефиницията, дадена в чл. 4, т. 1 от Регламент (ЕС) 2016/679 на ЕП и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, наричан по-долу „регламента“, лични данни са всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Системата „ГРАО“ е действие по обработване на лични данни по смисъла на чл. 4, т. 2 от регламента, което се извършва чрез събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване, които се съхраняват от общините. Следователно съдържащата се във регистър „ГРАО“ информация за физическите лица, попада в обхвата на понятието лични данни, тъй като лицето може да бъде физически идентифицирано. Обработването ѝ е възможно само при наличието на някое от условията по чл. 6, § 1 от регламента. Нарушен е и чл. 5, § 1, б. "б" от регламента – личните данни на 23 души са обработени по начин, несъвместим с легитимните цели на жалбоподателя, на б. "а" – обработени са незаконосъобразно и недобросъвестно, и на б. "е" – обработването им по този начин е вследствие на негарантирано подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване. Отговорност за това носи жалбоподателят като администратор на личните данни, доколкото е негово задължението да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента (чл. 24, § 1 от него); и да предприеме стъпки всяко физическо лице, действащо под ръководството на администратора или на обработващия лични данни, което има достъп до лични данни, да обработва тези данни само по указание на администратора (чл. 32, § 4 от него). Става въпрос за обективна, безвиновна отговорност, при която не се изследва кой конкретно служител на жалбоподателя е извършил злоупотреба със служебния си достъп до личните данни. Следва да се отбележи, че неизвършването на проверка към 12.06.2023 г. (когато жалбоподателят е получил сведение за неправомерното обработване на личните данни от системата „ГРАО“, на кметство Белозем, община Раковски ) на логовете на достъп в системата, респ. кой потребител в какъв начален момент и за колко време какво е правил в системата „ГРАО“, представлява нарушение на посочените по-горе приети от жалбоподателя организационни мерки. По този начин самият жалбоподател е отказал да изясни въпроса дали негов служител се е логвал на 12.06.2023 г. в системата „ГРАО“. Поради това правилно комисията е заключила, че администраторът носи отговорност и не може да докаже, че предприети от него организационни и технически мерки действително са подходящи да гарантират защитата на личните данни. В случая не става въпрос за приемане на правила за политика за поверителност на личните данни в община Раковски, а за организация за спазване на вече утвърдените мерки. Не може да се сподели виждането, че жалбоподателят е освободен от това задължение с факта на приемане на тези мерки, защото: първо, е администратор на лични данни и има самостоятелно задължение да осигурява тяхната поверителност без значение кой и по какъв начин има достъп до тях; второ, същият е задължен да преразглежда и при необходимост да актуализира предприетите мерки; трето, фактът че данните в система „ГРАО“ касаят чувствителна информация и подлежат на защита, с цел да не се използват за други цели, различни от легитимните, за които са събрани. Изборът на правомощие по чл. 58 от Общ регламент относно защитата на данните е въпрос на оперативна самостоятелност, като подлежи на съдебен контрол за законосъобразност само относно това дали са спазени пределите на оперативната самостоятелност. Съгласно чл. 169 от АПК при оспорване на административен акт, издаден при оперативна самостоятелност, съдът проверява дали административният орган е разполагал с оперативна самостоятелност и спазил ли е изискването за законосъобразност на административните актове. Оперативната самостоятелност е възможност да се избира измежду няколко възможни решения, всяко от които е законосъобразно, но в различна степен целесъобразно. В случая, правилно КЗЛД е избрала ефективна мярка налагане на имуществена санкция, като е изложила своите мотиви. Същата е съобразена с конкретните данни и съответства на тежестта на нарушението. Правилно ответникът е съобразил, че нарушението е станало достояние на теоретично неограничен кръг лица, което е оттегчаващо обстоятелство по смисъла на чл. 83, § 2, б. „а“ от Регламента. В контекста на казаното неоснователна е жалбата в частта за размера на санкцията. Предвид изложеното процесното решение следва да бъде потвърдено, а жалбата срещу него – отхвърлена като неоснователна. При този изход на спора в полза на ответника, на основание чл. 143, ал. 3 от АПК, вр. чл. 24, изр. второ, от Наредба за заплащането на правната помощ се дължи юрисконсултско възнаграждение в минимален размер от 100 лева. Водим от горните мотиви и на основание чл. 172, ал. 2, предл. последно от АПК, съдът,