Решение № 25646 от 2.12.2024 г. на Административен съд - София-град по дело № 9712/2024 г.

ОТХВЪРЛЯ жалбата на „ВИВАКОМ БЪЛГАРИЯ“ ЕАД срещу Решение № ППН-01-43/2023 от 03.09.2024г. на Комисията за защита на личните данни. ОСЪЖДА „ВИВАКОМ БЪЛГАРИЯ“ ЕАД, ЕИК[ЕИК], да заплати на Комисията за защита на личните данни сумата в размер на 100 /сто/ лева, представляваща разноски по производството. Решението може да бъде обжалвано с касационна жалба в 14-дневен срок от съобщаването му, чрез Административен съд София-град пред Върховния административен съд. Решението да се съобщи на страните чрез изпращане на препис от него по реда на чл.137 АПК. Съдия: Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс /АПК/, във връзка с чл.38, ал.8 от Закона за защита на личните данни /ЗЗЛД/. Образувано е по жалба на „ВИВАКОМ БЪЛГАРИЯ“ ЕАД срещу Решение № ППН-01-43/2023 от 03.09.2024г. на Комисията за защита на личните данни /КЗЛД/, с което на основание чл.10, ал.1 ЗЗЛД във връзка с чл.57, § 1, б.„е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) и чл.38, ал.3 ЗЗЛД жалба с peг.№ ППН-01-43/20.01.2023г., подадена от К. С. Х. срещу „ВИВАКОМ БЪЛГАРИЯ“ ЕАД е обявена за основателна за нарушение на чл.6, § 1 от Регламента и на основание чл.58, § 2, буква „и“, във връзка с чл.83, § 5, буква „а“ от Общия регламент за защита на личните данни, е наложена на дружеството, в качеството му на администратор на лични данни, имуществена санкция в размер в размер на 5000 лв. съгласно разпоредбата на чл.83, § 5, буква „а“ за нарушение на чл.6, § 1 от Регламент (ЕС) 2016/679. Жалбоподателят моли за отмяната на оспорения акт като незаконосъобразен – издаден при неправилно приложение на материалния закон и допуснати съществени нарушения на административнопроизводствените правила. Твърди се и че актът не отговаря на изискването за форма по чл.59, ал.2, т.4 АПК, тъй като не са изложени фактически основания за издаването му, а комбинация от частично установени обстоятелства и предположения. Допусната била и явна фактическа грешка, като навсякъде в акта се обсъжда като жалбоподател и засегнат субект на данни К. С. Х., а в данните по преписката субектът на данни е К. С. Х.. Неправилно било прието, че датата на узнаване на твърдяното нарушение е 02.12.2022г., тъй като продуктът застраховка „Комфорт за дома“ бил отразен във всяка една месечна сметка на жалбоподателката още от януари 2019г. Безспорно било и че цената за този продукт е била редовно заплащана. При положение, че данни за продукта са били на разположение на жалбоподателката, не можело да се приеме, че последната е разбрала за тях едва 4 години по-късно. Въз основа на това мотивира, че не е спазен срока по § 44, ал.2 от Преходните и заключителни разпоредби към Закона за изменение и допълнение на Закона за защита на личните данни, обнародван в ДВ, бр.17 от 2019г. за сезиране на КЗЛД в срок до една година от узнаване на нарушението. Налице било и нарушение на задължението на административния орган по чл.54, ал.1, т.3 АПК, тъй като в хода на проверката очевидно били разкрити престъпни обстоятелства, свързани със съставяне на неистински документ от неизвестно лице или лица като не можело да се санкционира дружеството, при положение, че не е ясно дали и кои негови служители са участвали при съставянето на спорния документ, дали и какво участие са имали други лица и при какви фактически обстоятелства се е стигнало до съставяне на неистински документ и употребата му пред Виваком. По отношение нарушението на материалния закон се оспорва възприетото, че дружеството е обработило личните данни на К. Х. без правно основание, тъй като обстоятелството, че подписът на споразумението за застрахователен продукт не е положен от госпожа Х. е установено едва след подаване на нейната жалба до КЗЛД. Не било установено и дали деянието е в резултат на умишлено или небрежно деяние. След като се отричало последното, то налице било безвиновно поведение на администратора, съответно липсвало основание за налагане на санкция. В съдебно заседание изложеното в жалбата и направеното с нея искане се поддържат чрез юрк.Р.. Ответникът по оспорването чрез юрк.А. в съдебно заседание, моли за отхвърляне на жалбата като неоснователна. Счита, че дори да е допусната грешка по отношение фамилията на жалбоподателя в административното производство, то тази грешка е техническа и не е от категорията на съществените процесуални нарушения, мотивиращи отмяна на индивидуалния административен акт. По отношение на допустимостта на жалбата в административното производство посочва, че са изложени подробни мотиви в обжалваното решение. По отношение възраженията за неправилно приложение на материалния закон посочва, че е безспорно установено обстоятелството, че „Виваком“ са сключили застрахователен договор от името на жалбоподателката, използвайки нейните лични данни без нейно знание и съгласие. Претендира присъждане на юрисконсултско възнаграждение. Заинтересованата страна К. С. Х., редовно и своевременно призована, не се явява и не се представлява в съдебно заседание, не ангажира становище по жалбата. Прокурор от Софийска градска прокуратура, редовно призована, не взема участие в производството по делото и не изразява становище по законосъобразността на оспорения акт. Съдът, като се запозна с изложеното в жалбата и приложените по делото доказателства, намира за установено следното от фактическа и правна страна: Жалбата е допустима – подадена е срещу подлежащ на оспорване индивидуален административен акт, от лице, което е негов адресат и чиято правна сфера той засяга неблагоприятно, в преклузивния 14-дневен срок, с оглед обстоятелството, че оспореното решение е връчено на жалбоподателя на 05.09.2024г., а жалбата срещу него е подадена на 18.09.2024г. /плик на л.8 по делото/. Разгледана по същество, жалбата е неоснователна. Като извърши дължимата на основание чл.168, ал.1 АПК проверка за законосъобразност на оспорения акт освен на основанията, сочени от оспорващия, на всички основания по чл.146 АПК съдът приема следното: Оспореното в настоящото производство решение е издадено от компетентен административен орган – КЗЛД в съответствие с предоставените й правомощия по чл.38, ал.1 и ал.3 ЗЗЛД /в приложимата редакция/ и чл.40, ал.2 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /Правилника/. Съгласно чл.9, ал.3 ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й /чл.7, ал.1 от ЗЗЛД - председател и 4 членове/. Решението следва да бъде подписано от всички членове, участвали в гласуването, като следва да се съобрази и специалната норма на чл.12 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /ПДКЗЛДНА, приет на основание чл.9, ал.2 ЗЗЛД/, регламентираща валидността на решението, когато то може да се вземе и неприсъствено, ако председателят и всички членове на комисията са съгласни и го подпишат. Съгласно чл.11, ал.4 ПДКЗЛДНА „председателят или член на комисията, който не е съгласен с решение, го подписва с особено мнение“. Спазено е изискването за кворум, доколкото на проведеното открито заседание на 03.04.2024г. са присъствали председателят на комисията и двама от членовете й /чл.8, ал.6 ПДКЗЛДНА/. Лицата, участвали в това заседание, са положили подписите си под оспорваното решение, взето с изискуемото мнозинство /3 гласа „за”, 0 гласа „против”/. Спазено е изискването за форма на административния акт като същият съдържа изискуемите по чл.59, ал.2 АПК реквизити, в т.ч. са посочени фактическите основания за приемането му, което е предпоставка за упражняване от съда на контрол за материална законосъобразност на акта. Не се установяват допуснати нарушения на административнопроизводствените правила, които да бъдат определени като съществени и съответно да мотивират отмяната на акта само на това основание. Производството е образувано по редовна и допустима жалба, преценено от органа с нарочно решение, разгледана е в открито заседание като решението на комисията е обективирано в протокол, въз основа на който е постановен оспореният акт. Съгласно разпоредбата на чл.38, ал.1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. В настоящия случай административното производство е образувано по жалба на К. С. Х., заведена в КЗЛД на 20.01.2023г. В нея се посочва, че на 02.12.2022г. при подновяване на полица за имуществено застраховане в Д. случайно разбрала, че има такава застраховка в БТК. След проведен разговор същия ден със служител на оспорващото дружество разбрала, че е сключила застраховка V. Care H. B. в навечерието на 2019г. – на 31.12.2018г. Тъй като не разполагала с подобен документ помолила сключената от нея застраховка да й се изпрати на имейла. Копие от застрахователната полица получила с писмо на 10.01.2023г. Отрича да е сключвала такъв договор. По отношение заплащането на ежемесечните вноски посочва, че получава чрез кратко текстово съобщение /СМС/ известие за нова фактура. Чрез профила си в мобилното приложение на Виваком проверявала фактурата като не разбрала, че под формулировката „Корекции, дарения и услуги партньори“ се крие вноска по имуществена застраховка. По делото на л.15 е представен скрийншот на електронна фактура със следното съдържание: обща стойност на услугите 39, 79 лева; ДДС ставка и сума 20% - 7, 96 лева; обща стойност с ДДС – 47, 75 лева; корекции, дарения и услуги от партньори – 3, 80 лева; обща сума за плащане – 51, 55 лева. Никъде в тази фактура не е изписан изричен текст, че сумата от 3, 80 лева, начислявана всеки месец, представлява месечна вноска по застрахователна полица. Ето защо съдът приема, че жалбоподателката по административната преписка и заинтересована страна по делото е узнала за злоупотребата с личните й данни именно на 02.12.2022г., както посочва в сезиращата административния орган жалба. Този извод се подкрепя и датите, съдържащи се в проведената между нея и оператора кореспонденция. В този смисъл жалбата е подадена в 6-месечния срок от узнаване за нарушението, регламентиран в чл.38, ал.1 ЗЗЛД. Спазен е и другият срок, регламентиран в посочената разпоредба, а именно двугодишен от извършване на нарушението. Не се спори, че договорът за застраховка от името на К. Х. е сключен на 31.12.2018г. като застраховката влиза в сила от 01.01.2019г. По делото е представен застрахователен сертификат към Групов застрахователен договор № 111412 за застраховка „Комфорт за дома“ по Застрахователна програма V. Care H., видно от който застрахователният период е една година с начало на периода на индивидуално застрахователно покритие от 01.01.2019г. и завършва в 24.00 часа на последния ден от тази една година. Всеки следващ застрахователен период започва от 0, 00 часа на деня, следващ деня на изтичането на предходния едногодишен застрахователен период /т.10 от сертификата/. Не се спори и че договор за застраховка е бил сключен/продължен и за 2020г., 2021г. и 2022г. като впоследствие тези суми са сторнирани за целия период /уведомление от Виваком до жалбоподателката на л.29 /гръб/ - л.31/ като за сключването на договор за всеки нов период отново са били използвани без нейно знание и съгласие личните данни на К. Х.. По отношение на възражението на жалбоподателя „ВИВАКОМ БЪЛГАРИЯ“ ЕАД за недопустимост на административното производство, в оспореното решение са изложени съображения, че с оглед датата на сключване на първия договор за застраховка и датата на узнаване за нарушението е приложима разпоредбата на § 44 ПЗР ЗИДЗЗЛД, обн. ДВ, бр.17 от 2019г. Съгласно тази разпоредба /ал.1 от нея/, образуваните до 25 май 2018г. и неприключили до влизането в сила на този закон производства за нарушения на закона се довършват по досегашния ред. С оглед датата на сезиране на административния орган тази разпоредба не намира приложение в конкретния случай. Според ал.2 на с.р. за нарушения на закона и на Регламент (ЕС) 2016/679, извършени до влизането в сила на този закон, срокът за сезиране на комисията по чл.38 е една година от узнаването на нарушението, но не по-късно от 5 години от извършването му. Съображения за неприложимостта на тази разпоредба във връзка с института на абсолютната погасителна давност са изложени в мотивите на Решение № 686 от 22.01.2024г. по адм. д. № 3150/2023г., V отд. на ВАС, като настоящият състав споделя същото виждане. При установяване на нарушение на нормите на ЗЗЛД или Регламент (ЕС) 2016/679, КЗЛД има право да наложи на администратора имуществена санкция. Ангажирането на административнонаказателната отговорност на нарушителя се извършва по специален ред, регламентиран в ЗЗЛД, който представлява изключение от общите правила, регламентирани в ЗАНН. Това обаче не означава, че институтът на абсолютната погасителна давност не следва да намира приложение по отношение тези нарушения, тъй като възприемането на обратното би поставило санкционираните лица в по-неблагоприятно положение от тези, наказани по общия ред, както и поради това, че би приравнило нарушенията на разпоредбите за защита на личните данни на престъпленията против мира и човечеството. Неоснователно намира съдът и възражението досежно изписването на фамилното име на жалбоподателката в административното производство. Съдът споделя становището на ответната страна по делото, че се касае за техническа грешка, която в случая не променя фактите по делото, както и крайните изводи на административния орган по приложението на материалния закон. Що се касае до възражението за наличие на предпоставки за спиране на административното производство по чл.54, ал.1, т.3 АПК с оглед установените данни за извършено престъпление следва да се отбележи, че производството пред КЗЛД е административно и в него следва да се установи дали дружеството в качеството му на администратор на лични данни е извършило твърдяното от жалбоподателя /в административното производство/ нарушение на разпоредбите на регламента и закона. Наказателното производство е отделно самостоятелно производство с предмет установяване дали деянието съставлява престъпление, кой е неговият извършител и съответно налагане на наказание за извършеното престъпление на конкретното физическо лице – служител на оспорващото дружество. Наказателното преследване срещу това физическо лице не освобождава дружеството от административнонаказателна отговорност по реда на ЗЗЛД и регламента в качеството му на администратор на лични данни. Отношенията между физическото лице и дружеството са регулирани от трудовото законодателство като в рамките на трудовото правоотношение физическото лице не действа от свое име и за своя сметка, а от името и за сметка на работодателя при възлагане от последния, в рамките на утвърдената и връчена длъжностна характеристика. Отношенията между тях се уреждат по реда, предвиден в Кодекса на труда и не касаят третите лица. В този смисъл дори производството пред комисията да е било спряно на основание чл.54, ал.1, т.3 АПК, каквато необходимост не е била налице с оглед изложеното по-горе, то установяването на конкретното физическо лице – служител на оспорващото дружество, няма да промени факта на злоупотреба с лични данни и съответно да се отрази на отговорността на дружеството за това в качеството му на администратор на лични данни. Въз основа анализ на представените по делото доказателства, съставляващи административната преписка, се установява, че жалбата на К. Х. е приета за редовна и допустима с оглед което е образувана преписка по нея, за което тя е своевременно уведомена. Уведомен е също така жалбоподателят като му е предоставен срок за депозиране на становище и относими доказателства. В становището си от 17.03.2023г. оспорващото дружеството посочва, че е установило служителя, обработил документа – сключената застраховка, като неговото трудово правоотношение е прекратено, считано от 04.05.2022г. След размяна на кореспонденция и събиране на доказателства, че начислените на К. Х. суми са сторнирани, както твърди жалбоподателят, е назначена почеркова експертиза като с писмо от 24.10.2023г. К. Х. е поканена да предостави сравнителен материал за извършването й с цел установяване на истинността, респ. неистинността на положения в застрахователен сертификат № 1114120112383/31.12.2018г. към групов договор № 111412 за застраховка „Комфорт за дома“ по застрахователна програма V. Care H., подписани на 31.12.2018г., подпис. Заключението по извършената от Националния институт по криминалистика почеркова експертиза е, че подписът, положен в тях, е копие на подпис, който не е положен от К. С. Х.. С оглед горното комисията е приела, че са събрани всички относими към случая доказателства и е насрочила разглеждането на преписката по същество в открито заседание на 03.04.2024г., за когато са призовани страните. В проведеното открито заседание страните не са взели участие като след запознаване и обсъждане на жалбата, становището на ответната страна и доказателствата, комисията е приела жалбата на К. Х. за основателна като решението й е обективирано в Протокол № 13/03.04.2024г. Последвало е издаването на оспорения акт, който съдът намира за съответен на материалния закон. Законът за защита на личните данни, както и Регламент 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД), уреждат защитата на правата на физическите лица при обработването на личните им данни. Тяхната основна цел е гарантиране неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните. Според дадените легални дефиниции на понятията "лични данни" и "обработване" в чл.4, § 1 и § 2 от Регламента, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице, а "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В случая няма спор, че личните данни на К. Х. в обем три имена, ЕГН и адрес, фигурират в застрахователен сертификат във връзка с групова застраховка или са обработени за нуждите на сключване на договора. За да е законосъобразно това обработване следва да е налице поне едно от основанията, предвидени в чл.6, § 1 от регламента, а именно: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. От доказателствата по делото се потвърждава възприетото от административния орган, че в случая не е налице нито една от тези хипотези, съответно личните данни на К. Х. са обработени от администратора „ВИВАКОМ БЪЛГАРИЯ“ ЕАД незаконосъобразно, в нарушение на чл.6, § 1 от регламента. Така установеното нарушение поражда задължението на КЗЛД да упражни някое от корективните правомощия, регламентирани в чл.58, § 2 от регламента. В случая комисията правилно е приела, че предвид естеството, тежестта и последиците от нарушението, най-целесъобразна и ефективна мярка би била имуществената санкция като при определяне размера й е съобразено, че процесното нарушение не е първо за жалбоподателя и размер от 5000 лева съответства, както на посочените по-горе, критерии, така и на статута на предприятието. Възражението на жалбоподателя, че комисията не е обсъдила формата на вината – дали деянието е извършено умишлено или по небрежност, в нарушение на чл.83, § 2, б.“б“ от регламента, е неоснователно. Спрямо юридическо лице всяко едно нарушение от обективна страна води след себе си правомощието на компетентните държавни органи да наложат имуществена санкция. Имуществената санкция е за обективна безвиновна отговорност и се налага при констатирано нарушение на установения ред на държавно управление и изпълнение на задълженията към държавата - чл.83, ал.1 ЗАНН. По дефиниция вината представлява субективното психическо отношение на дееца към извършеното от него деяние, способност, неприсъща на юридическите лица, поради което и при налагане на имуществена санкция на юридическо лице този въпрос не се изследва, а разпоредбата от регламента, на която се позовава жалбоподателят, има отношение към случаите, в които мярката се прилага спрямо физически лица. По изложените съображения съдът приема, че оспореното решение представлява законосъобразен административен акт, по отношение на който не е налице някое от отменителните основания по чл.146 АПК, съответно жалбата, подадена срещу него се явява неоснователна и следва да бъде отхвърлена. При този изход на спора претенцията на ответника за присъждане на разноски за юрисконсултско възнаграждение е основателна като то следва да бъде определено на 100 лева, на основание чл.24 НЗПП, вр. чл.37 ЗПП, вр. чл.143, ал.3 АПК, с оглед липсата на правна и фактическа сложност на делото. Водим от горното и на основание чл.172, ал.2 и чл.143, ал.3 АПК, Административен съд София-град, Второ отделение, 40-ти състав РЕШИ: ОТХВЪРЛЯ жалбата на „ВИВАКОМ БЪЛГАРИЯ“ ЕАД срещу Решение № ППН-01-43/2023 от 03.09.2024г. на Комисията за защита на личните данни. ОСЪЖДА „ВИВАКОМ БЪЛГАРИЯ“ ЕАД, ЕИК[ЕИК], да заплати на Комисията за защита на личните данни сумата в размер на 100 /сто/ лева, представляваща разноски по производството. Решението може да бъде обжалвано с касационна жалба в 14-дневен срок от съобщаването му, чрез Административен съд София-град пред Върховния административен съд. Решението да се съобщи на страните чрез изпращане на препис от него по реда на чл.137 АПК. Съдия: РЕШИ: