Решение № 24773 от 25.11.2024 г. на Административен съд - София-град по дело № 3415/2024 г.

ОТХВЪРЛЯ жалба на Н. А. Н., срещу Решение № ППН-01-386/2021 от 18.01.2024 г. на Комисия за защита на личните данни, с което се обявява жалба с рeг. № ППН-01-386 от 11.05.2021 г. подадена от Н. А. Н. срещу “УниКредит Булбанк“ АД, ЕИК[ЕИК] - администратор на лични данни за неоснователна; ОСЪЖДА Н. А. Н. от [населено място] да заплати на Комисия за защита на личните данни сумата от 200 (двеста) лева, представляваща юрисконсултско възнаграждение; ОСЪЖДА Н. А. Н. от [населено място] да заплати на “УниКредит Булбанк“ АД сумата от 1080 (хиляда и осемдесет) лева, представляваща разноски по длеото; Решението подлежи на обжалване чрез Административен съд – София-град пред Върховен административен съд на РБ в 14-дневен срок от съобщаването му на страните. Решението да се съобщи на страните чрез изпращане на препис от него по реда на чл.137 от АПК! СЪДИЯ: Производството е по реда на чл. 145 и сл. от Административно-процесуалния кодекс (АПК), вр. чл.38, ал. 7, вр. ал.3 от Закона за защита на личните данни (ЗЗЛД) и чл. 58, § 2, буква „г“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Образувано е по жалба на жалба на Н. А. Н. от [населено място], срещу Решение № ППН-01-386/2021 от 18.01.2024 г. на Комисия за защита на личните данни /КЗЛД/, с което се обявява жалба с per. № ППН-01-386 от 11.05.2021 г. подадена от Н. А. Н. срещу “УниКредит Булбанк“ АД, ЕИК[ЕИК] - администратор на лични данни за неоснователна. Наведените основания за оспорване, предвид изложените в жалбата оплаквания и твърдения се квалифицират от съда по чл.146, т.3 и т.4 АПК-съществени нарушения на адиминстративнопроизводствените правила и противоречие с материалноправните норми-чл.146, т.3 и т.4 АПК. Твърденията са, че „УниКредит Булбанк“ АД незаконосъобразно са предоставили на ОД на МВР лични данни на жалбоподателя, в т. ч. банкова сметка, телефонен номер, копие на лична карта, три имена, ЕГН, адрес и пр. Моли за отмяна на решението на КЗЛД и връщане на преписката със задължителни указания. В съдебно заседание жалбоподателят редовно призован, не се явява и не изпраща представител. Ответникът – Комисията за защита на личните данни за съдебно заседание, редовно призована, не изпращат представител. Заинтересованата страна „УниКредит Булбанк“ АД не изпращат представител. В писмени бележки по делото аргументират недопустимост на произнасянето на КЗЛД предвид просрочие на жалбата, алтернативно неоснователност на жалбата до съда. Административен съд – София – град, след като обсъди доводите на страните и прецени по реда на чл.168 ал.1 АПК събраните и приети по делото писмени доказателства и законосъобразността на оспорвания административен акт като цяло, приема за установено от фактическа и правна страна следното: Административното производство пред КЗЛД е започнало по жалба с рег. №ППН-01-386 от 11.05.2021 г., депозирана от Н. А. Н. от [населено място] срещу „УниКредит Булбанк“ АД. В жалбата се твърди, че банката е предоставила негови лични данни на ОД на МВР – В. без основание и без негово съгласие във връзка с подадена от него жалба до прокуратурата за изпратени фалшиви фишинги от името на „УниКредит Булбанк“ АД. Твърди, че нарушението е извършено около септември 2019г. Посочил е, че за това е разбрал на 10.05.2021г., когато в пощенската си кутия намерил старо постановление по преписка 10086/2019 г. на РП – В.. С писмо от 03.06.2021 г. „УниКредит Булбанк“ АД е уведомена за образуваното производство, като й е предоставена възможност в 7-днвене срок от получаването да изрази становище по жалбата, да посочи доказателства, като представи писмените такива. На същата дата от РП – В. на основание чл. 36, ал. 6 и ал. 7 АПК е изискана информация по преписка 10086/2019 г. относно наличието/липсата на подадено искане от ОД на МВР – В. до „УниКредит Булбанк“ АД за предоставяне на информация за лицето Н. Н., съответно относно наличието/липсата на представена от „УниКредит Булбанк“ АД информация по повод на това искане. Указано е при наличието на такива, да бъдат изпратени заверени копия от тях. За образуваното производство е уведомен и жалбоподателя, като му е предоставена възможност в 7-дневен срок да посочи доказателства и да представи писмените такива. В тази връзка с молба от 07.06.2021 г. Н. е поискал да се съберат абсолютно всички доказателства от прокурорска преписка 4742/2020 г. на ОП – В. и прокурорска преписка 6268/2020г. на РП – В.. В отговор на писмото от 03.06.2020 г., с писмо постъпило в КЗЛД на 15.06.2020 г. „УниКредит Булбанк“ АД е представила информация по случая. Посочено е, че на 16.09.2019 г. е получено писмо от ОД на МВР – В. във връзка с извършвана проверка, в което е изискано да се изпратят заверени копия на документи за откриване/закриване на сметки на Н. Н. в банката, като в писмото са посочени трите имена и ЕГН на клиента. От страна на банката е изготвен отговор, в който е представена исканата информация, като личните данни на клиента са в потвърждение на запитването. В изпратения отговор е уточнено, че в банковата информационна система не е наличен имейл адрес за контакт с клиента и са представени документи и информация в съответствие с поставените въпроси от разследващия орган, като номер на сметка и IBAN не са цитирани. Изразено е становище, че банката е действала изцяло в изпълнение на законните си задължения за оказване съдействие на правораздавателните органи и в съответствие с разпоредбите на чл. 159 НПК, чл.4 ЗМВР и чл.6, т.1, б.а) от Регламент (ЕС) 2016/679. В потвърждение на изложеното са представени писмото от ОД на МВР – В. и отговора на банката. На 14.06.2021 г. е постъпил и отговор от РП – В. с приложени към него копия на писмото от ОД на МВР – В. и отговора на банката. Посочено е, че информацията е изискана въз основа на разпореждане на наблюдаващия прокурор, който с разпореждане от 02.09.2019 г. е указал на органите на МВР да я изискат от банката, което съгласно чл.145, ал.3 ЗСВ е задължително за държавните органи, длъжностните лица, юридическите лица и гражданите. При така събраните доказателства на проведено заседание на КЗЛД на 16.02.2022г., видно от представения Протокол № 6 е взето решение жалбата да бъде оставена без разглеждане, а производството прекратено. На 07.04.2022 г. е издадено Решение №ППН-01-386/2021, с което жалбата на Н. А. Н. от [населено място] с рег. №ППН-386/11.05.2021г., подадена срещу „УниКредит Булбанк“ АД е обявена за процесуално недопустима за разглеждане на основание чл.27, ал.2, т.6 АПК, вр. чл.38, ал.1 ЗЗЛД и чл.77, §1 от Регламент (ЕС) 2016/679 и образуваното административно производство е прекратено. В мотивите на същото е прието, че от събраните по преписката материали се установява, че към дата 06.12.2019 г. Н. е разполагал с информация за това, че „от „УниКредит Булбанк“ АД са предоставени неправомерно негови лични данни на ОД на МВР – В. във връзка с проверка по пр. пр. 10086/2019 г. на РП – В., образувана по негова жалба, от което следва извода, че датата на узнаване на нарушението е 06.12.2019 г., а именно датата на подадената от него жалба срещу постановлението на прокуратурата. Прието е, че от този момент е започнал да тече 6-месечният срок по чл. 38, ал. 1 ЗЗДЛ, а жалбата е подадена по електронен път на 11.05.2021 г. Предвид това е прието, че жалбата е процесуално недопустима за разглеждане, тъй като същата е подадена извън нормативно установения срок за сезиране на надзорния орган. С определение № 161/06.01.2023г. по адм. д. № 9144/2022г. Административен съд София град е отменил Решение №ППН-01-386/2021 от 07.04.2022 г. на КЗЛД, с което жалбата на Н. А. Н. от [населено място] с рег. №ППН-386/11.05.2021 г., подадена срещу „УниКредит Булбанк“ АД е обявена за процесуално недопустима за разглеждане на основание чл.27, ал.2, т. 6 АПК, вр. чл. 38, ал. 1 ЗЗЛД и чл.77, §1 от Регламент (ЕС) 2016/679 и образуваното административно производство е прекратено. Делото е върнато като преписка на КЗЛД за ново произнасяне при спазване на указанията, дадени от съда. С Определение № 3488/03.04.2023 г. по адм. д. № 2747/2023 г. на ВАС е оставено в сила определение № 161/06.01.2023 г. по адм. д. № 9144/2022 г. на АССГ. С Решение на КЗЛД от проведено на дата 13.09.2023 г. заседание, обективирано в Протокол № 30/2023 г., жалбата е обявена за редовна и процесуално допустима, тъй като съдържанието на жалбата е съобразено с изискванията на чл. 28, ал. 1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация вр. чл. 29, ал. 2 от Административнопроцесуалния кодекс, жалбата е подадена от физическо лице с правен интерес, съдържа твърдения за неправомерно разпространение на лични данни от “Уникредит Булбанк“ АД на ОД на МВР - В. с отговор от дата 07.10.2019г., жалбата е подадена до компетентен орган, в нормативно установения срок, и с оглед на това, че не са налице отрицателните предпоставки посочени в чл. 27, ал. 2 от Административнопроцесуалния кодекс. За да достигне до извода, че жалбата е подадена в 6-месечния срок КЗЛД е приела, че от представените по преписката доказателства не се е установявало датата на връчване на прокурорските постановления. Жалбата е разгледана в открито заседание на Комисията за защита на личните данни, на дата 29.11.2023 г., съобразно разпоредбата на чл. 40, ал. 1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, за което страните са били редовно призовани. За да остави без уважение жалбата на Н. КЗЛД е приела, че “УниКредит Булбанк“ АД е администратор на лични данни осн. чл. 2 от Закона за кредитните институции. Вземайки предвид данните по отношение, на които са извършени оспорените от жалбоподателя като незаконосъобразни действия по разкриване на лични данни чрез тяхното предоставяне следва да се приеме, че в разглежданият случай приложение намира чл. 6, § 1 от Регламент (ЕС) 2016/679 (касае се обработка на обикновена категория лични данни). Изхождайки от предоставената от администратора на личните данни информация ведно с доказателства досежно причината/целта за предоставяне на личните данни на жалбоподателя на ОД на МВР - В., както и служебно събраните доказателства от трети неучастващи в производството лица следва да се приеме, че процесната обработка се субсумира под условието на чл. 6, § 1, буква в) от Регламент (ЕС) 2016/679 - обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора на личните данни. Обработка на личните данни е извършена от “УниКредит Булбанк“ АД във връзка с постъпило искане от ОД на МВР - В. в изпълнение на дадени указания на наблюдаващия прокурор по пр.пр. № 10086/2019г. за целите на извършване на проверка по тази преписка и намира законова опора в чл. 4 от ЗМВР. С оглед на посоченото по - горе за “УниКредит Булбанк“ АД възниква задължение да предостави исканите данни, тъй като данните - предмет на искането, засягат конкретен случай, като преценката за това дали са спазени или не указанията на прокурора при извършването на проверката, съответно дали данните са необходими или не за посочените по - горе цели се прави от наблюдаващия прокурор, а не от ответната страна. По горните съображения КЗЛД приема, че процесната обработка на личните данни е извършена съобразно принципа на законосъобразността по чл. 5, § 1, буква а) от Регламент (ЕС) 2016/679, тъй като е налице условието по чл. 6, § 1, буква в) от цитирания регламент за предоставяне на лични данни на жалбоподателя от ответната страна на ОД на МВР – В.. При горните фактически установявания съдът формира следните правни изводи: Жалбата срещу решение № ППН-01-386 от 18.01.2024 г. на КЗЛД е процесуално допустима предвид датата 02.02.2024г. на подаване на жалбата и датата 23.01.2024г. на която е съобщено на Н. за процения адм. акт (л. 45 от адм. д. № 2806.2024г. на АССГ). Касателно допустимостта на производството пред административния орган, в какъвто смисъл е възражението на заинтересованата страна, макар и това да е въпрос на законосъобразност на административния акт, съдът излага следните съображения: От доказателствата по делото не се установява датата, на която Н. е узнал за извършеното спрямо него и твърдяно нарушение на Регламент (ЕС) 2016/679. В този смисъл КЗЛД е изпълнила указанията, дадени с Определение № 161/06.01.2023 г. по адм. д. № 9144/2022 г. на АССГ и не е налице нищожност по см. на чл. 177, ал. 2 от АПК. КЗЛД е изискала и събрала наличните доказателства, от които е направен обоснован извод, че липсват данни за датата на връчване на постановлението за прекратяване. Пред КЗЛД от страна на прокуратурата е представено единствено извлечение от разносна книга, от която не се установят данни за датата на връчване на постановлението. Разгледана по същество жалбата е неоснователна. Оспореното решение е издадено от компетентен орган- КЗЛД. Съгласно чл. 6, ал. 1 ЗЗЛД, КЗЛД е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон и на Регламент (ЕС) 2016/679. Правомощието на КЗЛД за извършване на проверки е регламентирано изрично в чл. 12 от ЗЗЛД, съгласно която норма - Председателят и членовете на комисията или упълномощени лица от администрацията й, осъществяват контрол чрез проверки за спазване на Регламент /ЕС/ 2016/679. В този смисъл оспореното решение е постановено от компетентен орган. Обжалваното решение е прието при необходимия кворум и с необходимото мнозинство - арг. чл. 9, ал. 3 от ЗЗЛД и чл. 8, ал. 6 и ал. 7 от Правилника. Съгласно чл. 7, ал. 1 от ЗЗЛД комисията е колегиален орган и се състои от председател и 4 членове, а решенията се вземат с мнозинство от общия брой на членовете (чл. 9, ал. 3). Същото следва да бъде подписано от всички членове, участвали в гласуването. В случая за оспореното решение са гласували четирима със "за" и нито един против, поради което безспорно е формирано мнозинство и решението е валидно взето. В тази връзка не е осъществено основанието по чл. 146, т. 1 АПК. Спазена е установената от закона форма - актът е в писмена форма, посочени са фактическите и правни основания за издаването му. Същият съдържа изискуемите от разпоредбата на чл. 59, ал. 2 АПК реквизити, доколкото приложимият специален закон - ЗЗЛД не съдържа специални изисквания към формата и съдържанието на акта. Оспореният акт съдържа ясна разпоредителна част, посочени са релевантните факти и обстоятелства и приложимите според административния орган правни норми, проявлението на които обосновава разпоредените от него правни последици. В хода на административното производство не са допуснати съществени нарушения на административнопроизводствените правила, които да водят до отмяна на оспорения акт. Във връзка с подадена жалба е извършена проверка по спазване и прилагане на Регламент (ЕС) 2016/679 и на ЗЗЛД; събрани са доказателства; предоставена е възможност на жалбоподателя да представи доказателства; проведено е открито заседание с призоваване на страните. Събраните доказателства са обсъдени на заседание на КЗЛД (протокол № 30.13 и 14. Септември 2023г.) на което с единодушие е взето решение. По правилното приложение на материалният закон съдът съобрази следното: Съгласно § 1, т. 1 от ДР на ЗЗЛД (изм. ДВ, бр. 17/2019 г.) по смисъла на закона "лични данни" e понятието по чл. 4, т. 1 от Регламент (ЕС) 2016/679, който определя личните данни като: "всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице". Съгласно § 1, т. 3 "обработващ лични данни" е понятието по чл. 4, т. 8 от Регламент (ЕС) 2016/679 - означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. Спор по фактите няма. В контекста на осъществяваната дейност от “УниКредит Булбанк“ АД (публично привличане на влогове или други средства и предоставяне на кредити или друго финансиране за своя сметка и на собствен риск и пр. банкова дейност) дружеството обработва информация за клиентите, в т.ч. лични данни, сред които и Н. Н. във връзка със сключен договор за включване в програма Модула от 11.05.2018г. - данни от документ за самоличност: имена, ЕГН, адрес, номер на лична карта, в качеството му на клиент и титуляр на сметка, мобилен телефонен номер. Във връзка с подадена от лицето Н. Н. жалба до Районна прокуратура - В. е образувана пр. преписка № 10086/2019 г. и е извършена проверка за престъпления по чл. 212а, ал. 1, чл. 144, ал. 1 и ал. 2, чл. 171-171а, чл. 284, ал. 1 и ал. 2 от Наказателния кодекс. С разпореждане на наблюдаващият прокурор от дата 02.09.2019 г. е указано на органите на ОД на МВР - В. да изискат от “УниКредит Булбанк“ АД съответна информация, като в изпълнение на задължителните указания на прокурора такава е изискана с писмо с peг. № 365000-36093 от 13.09.2019 г., вкл. и такава, която не е предмет на разпореждането. С цитираното искане на ОД на МВР - В. е изискано от “УниКредит Булбанк“ АД да предостави информация за ползвания от банката официален домейн; копия на документи по откриване и закриване на сметки на лицето Н., вкл. информация от кога последното е клиент на дружеството; предоставения от лицето Н. адрес на електронна поща и конкретно дали посочения в искането адрес на електронна поща е предоставян от лицето Н.; дали приложени документи - разпечатки, са разпознаваеми за дружеството и дали същите съставляват официална банкова кореспонденция. Направено е искане и за получаване на допълнителна информация в случай, че ответната страна разполага с такава. В отговор на това искане с писмо с изх. № 0911-16-003836/04.10.2019г. “УниКредит Булбанк“ АД предоставя информация за официалния си домейн; документи свързани с откриването на сметка на лицето на Н.; за липсата на посочен адрес на електронна поща от лицето Н., за периода през който същия е бил клиент на дружеството от 11.05.2018 г. до 15.10.2018 г., като уведомява органите на МВР, че не може да предостави друга информация, вкл. данни за актуална ел. поща. Следователно, предоставената от “УниКредит Булбанк“ АД информация за Н. попада в приложното поле на понятието “лични данни“, тъй като се касае за “информация, свързана с идентифицирано или подлежащо на идентификация лице“. Самото предоставяне на лични данни представлява обработване по см. § 1, т. 4 от ДР на ЗЗЛД вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679 под формата на разкриване чрез предаване, на личните данни по см. § 1, т. 1 от ДР на ЗЗЛД вр. чл. 4, т. 1 от Регламента на Н. Н. и по-конкретно документи свързани с откриването на сметка на лицето, имена, ЕГН, адрес, номер на лична карта, в качеството му на клиент и титуляр на сметка, мобилен телефонен номер. В тази им част съдът преценява като обосновани и законосъобразни изводите на КЗЛД и изцяло ги споделя. Така за да се приеме, че е налице законосъобразна обработка на лични данни, съобразно принципа на отчетността, администратора следва да докаже пред надзорния орган, че обработката на данните е извършена съобразно принципа на законосъобразността по чл. 5, § 1, буква а) от Регламент 2016/679. Вземайки предвид данните по отношение, на които са извършени оспорените от Н. като незаконосъобразни действия по разкриване на лични данни чрез тяхното предоставяне следва да се приеме, че в разглежданият случай приложение намира чл. 6, § 1 от Регламент (ЕС) 2016/679. Изхождайки от предоставената от администратора на личните данни информация ведно с доказателства относно целта за предоставяне на личните данни на Н. на ОД на МВР - В., както и служебно събраните доказателства от трети неучастващи в производството лица следва да се приеме, че процесната обработка попада под условието на чл. 6, § 1, буква в) от Регламент (ЕС) 2016/679 - обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора на личните данни. Администраторът на лични данни, в случая “УниКредит Булбанк“ АД в конкретния случай е задължен да предостави исканата от него информация за Н. на осн. чл. 4 от ЗМВР във вр. с разпореждане на наблюдаващият прокурор от дата 02.09.2019г., с което е указано на органите на ОД на МВР - В. да изискат от “УниКредит Булбанк“ АД съответна информация, при това именно по повод на Н. Н. жалба до Районна прокуратура – В., за което е образувана пр. преписка № 10086/2019 г. и е извършена проверка за престъпления по чл. 212а, ал. 1, чл. 144, ал. 1 и ал. 2, чл. 171-171а, чл. 284, ал. 1 и ал. 2 от Наказателния кодекс. Така следва да се приеме, че процесната обработка на личните данни е извършена съобразно принципа на законосъобразността по чл. 5, § 1, буква а) от Регламент (ЕС) 2016/679, тъй като е налице условието по чл. 6, § 1, буква в) от цитирания регламент за предоставяне на лични данни на жалбоподателя от ответната страна на ОД на МВР – В., на осн. чл. 4 от ЗМВР във вр. с. чл. 196, т. 2 във вр. с чл. 197 от НПК и пр. преписка № 10086/2019 г. Тук е мястото, където следва да се посочи и съответстващата разпоредба в ЗЗЛД, касаеща дейността на разследващите органи. Съгласно законовото изключение на чл. 49 ЗЗЛД: "Обработването на лични данни е законосъобразно, когато е необходимо за упражняване на правомощия от компетентен орган за целите по чл. 42, ал. 1 и е предвидено в правото на Европейския съюз или в нормативен акт, в който са определени целите на обработването и категориите лични данни, които се обработват. ". Целите, които законодателят е посочил в чл. 42, ал. 1 от с. з. са: предотвратяване, разследване, разкриване или наказателно преследване на престъпления или изпълнение на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. " Или обобщено казано, за администратора на лични данни и разследващия орган е предвидено правомощие, респ. задължение да обработват лични данни, с цел разкриване на престъпление, конкретно в случая по и пр. преписка № 10086/2019 г. Предвид изложеното, съдът намира, че решение № ППН-01-386/2021 от 18.01.2024 г. на КЗЛД е законосъобразно, а подадената срещу него жалба следва да бъде отклонена като неоснователна. При този изход на делото на ответника се следват разноски, заявени с писмени бележки по делото. На осн. чл. 24 от Наредбата за заплащането на правната помощ съдът определя сумата от 200 лева за юрисконсултско възнаграждение. На заинтересованата страна се следват разноски в размер на 1080 лева, предвид представените по делото договор за правна помощ и доказателства за плащането на сумата. Мотивиран така и на основание чл. 172, ал. 2 от АПК Административен съд София – град, ІІ о., 33-ти състав Р Е Ш И: ОТХВЪРЛЯ жалба на Н. А. Н., срещу Решение № ППН-01-386/2021 от 18.01.2024 г. на Комисия за защита на личните данни, с което се обявява жалба с рeг. № ППН-01-386 от 11.05.2021 г. подадена от Н. А. Н. срещу “УниКредит Булбанк“ АД, ЕИК[ЕИК] - администратор на лични данни за неоснователна; ОСЪЖДА Н. А. Н. от [населено място] да заплати на Комисия за защита на личните данни сумата от 200 (двеста) лева, представляваща юрисконсултско възнаграждение; ОСЪЖДА Н. А. Н. от [населено място] да заплати на “УниКредит Булбанк“ АД сумата от 1080 (хиляда и осемдесет) лева, представляваща разноски по длеото; Решението подлежи на обжалване чрез Административен съд – София-град пред Върховен административен съд на РБ в 14-дневен срок от съобщаването му на страните. Решението да се съобщи на страните чрез изпращане на препис от него по реда на чл.137 от АПК! СЪДИЯ: Р Е Ш И: