Решение № 12834 от 11.4.2025 г. на Административен съд - София-град по дело № 997/2025 г.

Производството е по реда на чл.38, ал.8 от Закона за защита на личните данни (ЗЗЛД) във вр. с чл. 145 - 178 от Административнопроцесуалния кодекс (АПК). Образувано е по жалба на А. К. Т., А. Д. М., Б. С. Г.-В., В. В. В., В. П. Й., Г. Д. Ж., Г. М. Д.; Ж. П. Ж., З. К. В., И. В. Р., И. Д. Н., И. К. Н., К. С. К., М. Б. Х., Н. Р. Ш.-П., Н. Г. Й., С. В. П., Т. Г. Б., Ц. Е. П., Ц. Н. К., Ю. Б. Х. и Я. Й. Г. против решение № ППН-01-126/2023г. от 11.12.2024 г. на Комисията за защита на личните данни (КЗЛД). Жалбоподателите намират, че оспореното решение не отговаря на изискването за форма, постановено е при неправилно прилагане на материалния закон, допуснато съществено нарушение на административнопроцедурните правила и е в отклонение на целта на закона. По тези съображения е направено искане съдът да измени решението или да върне преписката на КЗЛД за установяване на пълното нарушение и налагане на реална санкция. Ответникът в писмени становища излага доводи за недопустимост на жалбата, а по съществото й я намира неоснователна. Заинтересованата страна (ЗС) Политическа партия «Възраждане» чрез процесуалния си представител изразява становище за недопустимост, а по същество – неоснователност на жалбата. След като обсъди доводите на страните и приетите по делото доказателства, съдът в настоящия състав приема следното от фактическа и правна страна. Жалбата е допустима, като подадена в законоустановения за това срок от активно легитимирани лица, срещу подлежащ на оспорване акт. Посочва се в определение № 6694/06.06.2016г. по адм. дело № 5922/2016г. на Върховния административен съд (ВАС), Пето отделение, че: „Съгласно разпоредбата на чл. 38, ал. 2 от ЗЗЛД, КЗЛД се произнася в 30-дневен срок от сезирането с решение, като може да даде задължителни предписания, да определи срок за отстраняване на нарушението или да наложи административно наказание. Решението се съобщава на физическото лице. Същото подлежи на обжалване по реда на АПК. Изборът на една от трите алтернативи от Комисията е въпрос на оперативна самостоятелност, която също подлежи на съдебен контрол, по аргумент от разпоредбата на чл. 169 от АПК и е въпрос по същество. Административният орган е избрал една от трите алтернативи, предвидени в закона. При съдебния контрол за законосъобразност следва да бъде проверено дали административният орган е разполагал с оперативна самостоятелност и спазил ли е изискването за законосъобразност на административния акт, например - това по чл. 59, ал. 2, т. 4 от АПК. Това е въпрос, по който съдът следва да се произнесе с акта по същество. Жалбата съдържа оплакване, именно, срещу т. 2 от решението на КЗЛД като се твърди незаконосъобразност на акта в тази част. За жалбоподателя е налице правен интерес от оспорване на акта на КЗЛД, тъй като решението във всички негови части засяга правната му сфера лично и пряко. Законът не поставя ограничения за необжалваемост на отделните части на решението. Да се приеме, че не е налице правен интерес от оспорване на индивидуален административен акт при законово предвидена възможност за избор на една от няколко възможности, дадени на административния орган, би означавало да се обезсмисли съдебния контрол върху административните актове, издадени при оперативна самостоятелност“. По тези съображения следва да се приеме, че жалбата е допустима. Разгледана по същество, е неоснователна. Производството пред КЗЛД е образувано по жалба с вх, № ППН-01-126/13.02.2023 г., съдържаща твърдения за неправомерно обработване на личните данни - три имена и ЕГН на жалбоподателите, от политическа партия „Възраждане“ чрез публикуването им на интернет страница [интернет адрес], като личните данни били публично достъпни на сочения линк от 11 август 2022 г. до 28 януари 2023 г. КЗЛД приела, че е валидно сезирана от физически лица с правен интерес срещу надлежна страна - администратор на лични данни по смисъла чл. 4, ал. 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, ОРЗД). От проведеното проучване комисията установила от фактическа страна, че на интернет страница [интернет адрес], администрирана от политическа партия „Възраждане“, в горепосочения период са били достъпни лични данни в обем от три имена и единни граждански номера (ЕГН) на жалбоподателите. На 11.08.2022 г. на страницата е публикувана новина, със заглавие „Възраждане“ със сигнал до прокуратурата за корупционната дейност на фондация „Америка за [държава]“, с прикачен и свободно достъпен файл [интернет адрес], съдържащ направено от политическата партия проучване за финансирането на различни институции - фондации, юридически лица, сдружения и неправителствени организации. В публикувания файл се съдържат три имена и ЕГН на жалбоподателите, в качеството им собственици, управители и/ или представляващи фондации, сдружения и юридически лица, идентични на вписаните обстоятелства в Търговския регистър и регистър на юридическите лица с нестопанска цел (ТРРЮЛНЦ). Установено било, че в публичната част на последния публикуваните данни са ограничени до три имена, държава и качество, което имат спрямо подлежащия на вписване търговец и/ или юридическо лице с нестопанска цел. В публично достъпната част не са посочени ЕГН на физическите лица жалбоподатели. Достъпът до тази информация – ЕГН, е ограничен посредством ползването на електронен подпис, чрез цифров сертификат, издаден от агенцията, а в случаите на служебен достъп - по реда на наредбата по чл. 12, ал. 5 от Закона за ТРРЮЛНЦ (ЗТРРЮЛНЦ). При така установените факти КЗЛД приела, че обработването на лични данни посредством публикуването им е действие по обработване на лични данни по смисъла на чл. 4, § 2 от ОРЗД и като такова следва да се извършва в съответствие с последния и ЗЗЛД. Публикуването на три имена на жалбоподателите и качеството което имат спрямо подлежащия на вписване търговец и/ или юридическо лице с нестопанска цел, обект на проучване от страна на политическата партия, е законосъобразно и пропорционално. Последното обаче не се отнася за публикуване на ЕГН на жалбоподателите. Личните им данни са публикувани от партията и по този начин са станали достъпни и разпространени до неограничен кръг от лица посредством интернет страницата, посочена по-горе. Публикуването е направено без знанието и съгласието на лицата. В случая не е налице и никое от останалите условия за допустимост и законосъобразност на обработването на ЕГН. Отбелязано е в мотивите на оспорения акт, че е неприложима хипотезата за наличие на легитимен интерес на администратора, който да е преимуществен пред интереса на засегнатите физически лица, или обработването да е необходимо за изпълнение на договор, по който субектите на данни да са страна. Останалите условия са неотносими - приложими са в други, различни и несъвместими с настоящата хипотези, касаещи обработване на лични данни за защита на жизненоважни интереси, свързани с живота и здравето на субекта на данни, изпълнение на задача от обществен интерес, както и при упражняването на официални правомощия, каквито не са делегирани на партията. КЗЛД приела, че обработването е незаконосъобразно и без правно основание, като този извод не се променя от обстоятелството, че източник на информацията е ТРРЮЛНЦ, където по партидата/ делото на съответните търговци и юридически лица с нестопанска цел, чиито представители, собственици и/ или управители са жалбоподателите, са публикувани актове, съдържащи личните им данни, включая ЕГН. От значение е фактът, че документите, съдържащи ЕГН, не са публично и свободно достъпни в регистъра. В публичната му част данните са ограничени до три имена, държава и качеството, което имат спрямо подлежащия на вписване търговец и/ или юридическо лице с нестопанска цел. Съгласно чл. 11 от ЗТРРЮЛНЦ, търговският регистър и регистърът на юридическите лица с нестопанска цел са публични. Всеки има право на свободен и безплатен достъп до базата данни, съставляваща регистрите. Изрично обаче, в ал. 2 е посочено, че достъпът до делото на търговеца, или на юридическото лице с нестопанска цел се осигурява чрез регистриран достъп - чрез електронен подпис, чрез цифров сертификат, издаден от агенцията, а в случаите на служебен достъп - по реда на наредбата по чл. 12, ал. 5 от ЗТРРЮЛНЦ. При наличие на предпоставките за регистриран достъп политическата партия има право на достъп до данни, включително ЕГН, съдържащи се в публикувани по делото на подлежащия на регистриране по ЗТРРЮЛНЦ субект документи. Наред с това, партията няма законово основание да ги обработва, в случая - публикува на страницата си в интернет, без наличието на условията, посочени в чл. 6, § 1, б. „а“ - „е“ от ОРЗД. Публикуването им без да са налице предпоставките по чл.6, § 1, букви, , а-е“ от ОРЗД представлява нарушение на принципите, залегнали в нормата на чл. 5, § 1, буква “б“ от същия регламент. Обработването в случая е в нарушение на принципа на „ограничение на целите" съгласно посочената разпоредба - за цели, които са различни и несъвместими с тези, за които данните са събрани и съхранявани от Агенция по вписванията, а именно - за изпълнение на официално правомощие, предоставено й съгласно ЗТРРЮЛНЦ. По отношение на политическата партия е неотносимо основанието, приложимо за агенцията, а именно - за спазване на законово задължение - чл. 6, § 1, буква „в“ от ОРЗД. Посочва се в мотивите на оспорения акт и, че е неприложима хипотезата на обработване на данните в обществен интерес или за легитимни цели. Тя може да бъде обоснована за обработване на данните в хипотеза, различна от процесната, а именно - за подаването на сигнала до Прокуратурата на [държава], но не и за публикуването му на страницата на ответника в цялост, без заличени данни за ЕГН на жалбоподателите. Комисията не е орган, който може да прецени дали преследваната от партията цел е преимуществено да навреди на жалбоподателите, респективно дали са налице вреди - имуществени или неимуществени за лицата, сезирали КЗЛД, в резултат на публикацията. Факт е обаче, че жалбоподателите са активни и публично известни личности, като дейността им и те самите са разпознаваеми. Въпреки това непропорционално и незаконосъобразно, е оповестяването/ публикуването на единните им граждански номера на сайта на ответника. В тази връзка комисията констатирала и нарушение на принципа на „свеждане на данните до минимум" (чл. 5, § 1, буква „в“ от ОРЗД) съгласно който обработваните лични данни следва да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват. Ако се приеме, че администраторът е целял публичност или гласност на намеренията и действията си по сезиране на компетентните органи, то е следвало при публикуване на проучването с което е сезирал прокуратурата да заличи ЕГН на жалбоподателите в материала, направен от него достъпен до неограничени лица посетители на интернет страницата му, които не са негови адресати - доколкото адресат е прокуратурата, която е сезирана за случая. По изложените съображения КЗЛД приела, че публикуването на ЕГН на жалбоподателите на посочената интернет страница е в нарушение на принципите на чл. 5, § 1, буква „а“ - незаконосъобразно, чл. 5, § 1, буква „б“ - „ограничение на целите“ и чл. 5, § 1, буква „в“ - „свеждане на данните до минимум“ от OPЗД. Последният не възпрепятства изразяването на граждански позиции и оповестяване на резултатите от проучване или „журналистически разследвания“, но същите следва да са съобразени, от гледана точка на обработването на лични данни, с принципите, разписани в чл. 5 от ОРЗД. Посочва се в мотивите на оспореното решение и, че комисията напълно споделя виждането, че публикуваната информация трябва да бъде проверена и достоверно коментирана. Общественият интерес безспорно изисква тя да бъде потвърдена, т. е. обективна, преди нейната публикация. Следва да се прави разлика между установяване на достоверност на информацията преди нейната публикация и реалното публикуване. При реалното разпространение на информацията, представляваща нейното публикуване, администраторът следва да извърши преценка за балансиране между две конкуриращи се права - правото на информираност и свобода на изразяване и правото на защита на личните данни. Лицата са публично известни, посочени са наименованията на съответните юридически лица и отношенията, които има между физическите лица и подлежащото на вписване лице. Публикуването на ЕГН в случая е прекомерно за постигане на целите, за които са обработени - оповестяване на подадения в прокуратурата сигнал. Това публикуване на ЕГН на лицата надхвърля целите на публикацията и обработването им е прекомерно, доколкото публикуваните други данни за жалбоподателите - имена и качеството, което имат спрямо подлежащия на вписване търговец и/ или юридическо лице с нестопанска цел, обект на проучване от страна на партията, са достатъчни за постигане на целите за които са обработени - информираност на обществото. Заличаването на посочените ЕГН на 29.01.2023 г., преди сезиране на КЗЛД с жалбата, не санира нарушението, но свидетелства за отговорно и съобразено с ОРЗД последващо добросъвестно поведение на администратора, което следва да се вземе предвид при избора на упражнено от КЗЛД правомощие по чл. 58, § 2 от ОРЗД. При избора на мярка следва да се има предвид и, че при администратора липсват вътрешни правила относно публикуване на документи на процесната интернет страница, предприети технически и организационни мерки за защита на съдържащи се лични данни, инструкция, заповед иди друг акт за обучение на лицата, публикуващи информация на сайта, включително правила за периодичен преглед и актуализиране на публикуваната информация, съдържаща лични данни, с оглед сроковете и целите, за които се публикуват данни и тяхното коригиране или заличаване и отговорните за това лица. По тези съображения и като отчела характера на нарушението, вида и обема на обработваните лични данни, обстоятелството, че те не са специална категория по смисъла на чл. 9 от ОРЗД, факта, че данните са достъпни в ТРРЮЛНЦ, предприетите от администратора мерки за преустановяване на нарушението още преди сезиране на КЗЛД и не на последно място - обстоятелството, че нарушението е първо констатирано по отношение на администратора, комисията счела за целесъобразно да бъде издадено разпореждане по чл. 58, § 2, буква „г“ от ОРЗД, като намерила, че останалите мерки по чл. 58, § 1, буква „а“, „б“, „г“, , д“, „е“, „ж“, „з“ и „й“ от ОРЗД са неприложими и нецелесъобразни. В тази връзка са изложени мотиви, че те са такива поради естеството на нарушението и обстоятелството, че към момента на произнасяне същото е преустановено, а налагането на имуществена санкция за констатираното нарушение би било прекомерно и в нарушение на принципа на съразмерност по чл. 6 от АПК, съгласно който „Когато с административния акт се засягат права или се създават задължения за граждани, се прилагат онези мерки, които са по-благоприятни за тях, ако и по този начин се постигне целта на закона". Издаването на разпореждане на администратора ще постигне и целената с наказанието превенция, а именно, недопускане на същото или подобно нарушение занапред. КЗЛД намерила, че издаването на разпореждане е целесъобразно и пропорционално на допуснатото нарушение, същото е в изпълнение на задачите на надзорния орган да насърчава информираността на администраторите на лични данни за задълженията им по ОРЗД (чл. 57, § 1, буква „г“ от ОРЗД), както и да насърчава информираността и разбирането на рисковете, правилата, гаранциите и правата, свързани с обработването на лични данни (чл. 57, § 1, т. „б“ от ОРЗД). По тези съображения и на основание чл. 38, ал. 3 от ЗЗЛД, КЗЛД постановила процесното решение, с което обявила жалба № ППН-01-126/13.02.2023 г. за основателна и издала разпореждане на основание чл. 58, § 2, буква „г“, за нарушение на 5, § 1, буква „а“, „б“ и „в“ от ОРЗД на администратора Политическа партия „Възраждане“ да съобрази операциите по обработване на личните данни с разпоредбите на ОРЗД, в частност принципите на „законосъобразност и прозрачност“, „ограничение на целите“ и „свеждане на данните до минимум“ като за целта: изготви вътрешни правила относно публикуване на лични данни и/ или на документи съдържащи лични данни на администрираната от партията интернет страница [интернет адрес] и предприеме подходящи технически и организационни мерки за защита на обработваните лични данни; изготви инструкция, заповед или друг акт за обучение на лицата, публикуващи информация на сайта, включително правила за периодичен преглед и актуализиране на публикуваната информация, съдържаща лични данни, с оглед сроковете и целите за които се публикуват данни, тяхното коригиране и/ или заличаване и отговорните за това лица, както и да публикува на сайта информация за администратора на сайта и форма за контакт с него, с оглед прозрачност и възможността за упражняване на права по ОРЗД от страна на субектите на данни. С решението е определен и едномесечен срок за изпълнение на издаденото разпореждане. В производството пред съда не бяха представени доказателства за съществуването на обстоятелства, различни от установените от административния орган и годни да обосноват различни от формираните от него изводи. Изслушани са показанията на свидетеля Т. С. С., които съдът в настоящия състав възприема като обективни, безпротиворечиви и последователни. Наред с това, те не изясняват нови релевантни обстоятелства. Свидетелят посочва, че му е известно публикуване на лични данни на жалбоподателите. Случаят станал публично известен, с публикуваните на уеб страницата на партия „Възраждане“ лични данни на стотици хора през 2022 година. Свидетелят видял ЕГН-та, след като била публикувана информацията в медиите. След като говорил и с хора, който присъствали там, отворил страницата на „Възраждане“ и видял файла, с три имена, ЕГН-та на стотици хора. Свалил го и го заверил пред нотариус. Разпечатката била около 400 страници. Огромен файл. Тези данни на интернет страницата на партия „Възраждане“ свидетелят проверявал неколкократно. След 2022 година стояли поне няколко месеца със сигурност. Страницата на „Възраждане“ последно отварял наскоро, но сега ги няма. Преди няколко месеца, когато проверявал дали стоят там - стояли. Наскоро свидетелят отново видял, че продължава да циркулира документът в социалните мрежи, с препратка към сайта, на който е ъплоуднат. По негово възприемане е същият документ, защото лични данни, имена и ЕГН-та на хората, които били в този файл, бил гледал преди години. Същите са и продължават да циркулират. Видял лично данните на Б. Г. и на Г. Ж., и на други хора. По същият начин е форматирано представеното му изображение като файла, който бил качен на страницата на „Възраждане“. Свидетелят познава лично някои от жалбоподателите. Свързал се с тях през август 2022 година. Към онзи момент не му споделили, какви мерки смятат да предприемат. Доста след това решили да пуснат оплакване. Не му е известно, след като в продължение на тези 5 месеца те са били уведомени, че данните им са на сайта на партия „Възраждане“, дали са предприели никакви мерки, за да поискат свалянето им. Не знае дали са се свързали с представители на пария „Възраждане“. Като казал, че те циркулират в социалните мрежи с препратка към сайта, където са качени, имал предвид сайт, който не е на партията. Това е на една платформа „Скрайбит“. В тази платформа, в нея се качват всякакви документи. Тя е обменна. Там има дисертации, есета, всякакви дописки, книги и ако качиш 5 книги, получаваш безплатен достъп и там може да се свалят данните. Това е същата платформа „Скрайбит“, която милиони хора използват. Предявените му при изслушването разпечатки са от нея. Тези показания съответстват на възприетата в производството пред административния орган фактическа обстановка, а именно, че са били публикувани лични данни на жалбоподателите и впоследствие – отстранени. Ирелевантно за настоящия спор е наличието на същите данни в други общодостъпни източници. Не се установява, а не се и твърди последващото им публикуване в горепосочената платформа да е направено от ЗС. Еднообразието на данните е естествена последица от обстоятелството, че същите данни са налични в ТРРЮЛНЦ и при извличането им от този регистър от отделни субекти няма причина да се приеме, че биха имали различен изглед. Ето защо, не може да се приеме, че ЗС е отговорна за следващи публикации със същото съдържание. Доколкото незаконосъобразността на обработването на личните данни може да има за последица прилагане на административно наказание, не е допустимо прилагането му въз основа на предположение за възможна причинно-следствена връзка между публикацията, направена от ЗС и следващи такива. Безпротиворечиво е установено в случая, че ЗС е публикувала на интернет страницата си голям обем лични данни, без правно основание за това и при незачитане на принципите, прогласени в чл.5 от ОРЗД. Тези данни са били достъпни от 11.08.2022г. до 28.01.2023г., когато, според изложението на жалбоподателите, на ЗС е връчена антинаграда поради съзнателно и целенасочено публикуване на личните данни на стотици хора, а на следващия ден ЕГН във файла са били премахнати. Жалбата до КЗЛД е подадена две седмици по-късно – на 11.02.2023г. Следователно, ЗС е прекратила незаконосъобразното обработване по свой почин и преди сезирането на комисията за описаните обстоятелства. Ето защо, правилна е преценката за съразмерност, извършена от КЗЛД в случая съобразно чл.6 АПК. Административното наказване не може да бъде самоцел, а преценката на компетентния орган за това, какви мерки са подходящи да бъдат приложени при така установеното обработване, е в пределите на оперативната му самостоятелност. Тя се явява преценка по целесъобразност, както е посочено и в мотивите на оспорения акт, която е извън предмета на съдебния контрол – чл.145, ал.1 АПК. КЗЛД като надзорен орган има правомощията, изброени в чл.58 от ОРЗД, като в § 2 са посочени корективните, както следва: a) да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операции по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на настоящия регламент; б) да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на настоящия регламент; в) да разпорежда на администратора или обработващия лични данни да изпълнят исканията на субекта на данни да упражнява правата си съгласно настоящия регламент; г) да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок; д) да разпорежда на администратора да съобщава на субекта на данните за нарушение на сигурността на личните данни; е) да налага временно или окончателно ограничаване, в т. ч. забрана, на обработването на данни; ж) да разпорежда коригирането, или изтриването на лични данни или ограничаването на обработването им съгласно членове 16, 17 и 18, както и уведомяването за тези действия на получатели, пред които личните данни са били разкрити съгласно член 17, параграф 2 и член 19; з) да отнема сертификат или да разпорежда на сертифициращия орган да отнеме сертификат, издаден съгласно членове 42 и 43, или да разпорежда на сертифициращия орган да не издава сертификат, ако изискванията за сертифицирането не са спазени или вече не се спазват; и) да налага административно наказание „глоба" или „имуществена санкция" съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай; й) да разпорежда преустановяването на потока на данни към получател в трета държава или към международна организация. С изключение на посочените в б. „и“, останалите са принудителни административни мерки (ПАМ), съгласно чл.84, ал.1 от ЗЗЛД. В случая комисията в рамките на своята оперативна самостоятелност е намерила за целесъобразно да приложи такива по б.“г“. Това решение е постановено от компетентен орган и в установената форма, като са изложени подробни мотиви от фактическа и правна страна. Не се установява в производството пред комисията да са били допуснати съществени нарушения на административнопроизводствените правила, тъй като съществени са само онези, които, ако не бяха допуснати, производството би имало различен резултат. В случая не се установиха нови релевантни обстоятелства, които да не са били съобразени от комисията при постановяване на решението. Страните в производството пред КЗЛД са били надлежно уведомени и взели участие в него. Решението изцяло съответства на приложимите материалноправни разпоредби. То съответства и на целта на закона – да предотврати незаконосъобразното обработване на лични данни и съществуването на предпоставки за такова, както и да ги преустанови, където бъдат открити. Тези цели са постижими с прилагането на ПАМ, както е сторено в случая и за същите цели административното наказание не е задължително средство. Поради това, искането на жалбоподателите за налагане на такова е неоснователно. С оглед изхода на делото и на основание чл.143, ал.3 АПК разноските остават за жалбоподателите така, както са направени и следва да бъде уважено искането на ответника, направено в становище от 25.02.2025г. (л.274-282 от делото) за юрисконсултско възнаграждение. Размера на последното съдът определя на 100 лeва, съобразно чл.24 от Наредбата за заплащането на правната помощ, издадена на основание чл.37, ал.1 от Закона за правната помощ. Сумата е дължима на КЗЛД, която е юридическо лице, съгласно чл.6, ал.3 от ЗЗЛД. Така мотивиран и на основание чл.172, ал.2 АПК, съдът