Решение № 23228 от 12.11.2024 г. на Административен съд - София-град по дело № 3216/2024 г.

ОТХВЪРЛЯ жалбата на Р. В. А. срещу Решение ППН-01-94/2022 от 29.02.2024 г., на КЗЛД, в частта му по т.2 и т.3 (точки две и три). ОСЪЖДА Р. В. А. с ЕГН [ЕГН] да заплати на Комисията за защита на личните данни сумата от 100 (сто) лева, юрисконсултско възнаграждение Решението може да бъде оспорено с касационна жалба в 14-дневен срок от съобщаването му пред Върховния административен съд. Решението да се съобщи на страните чрез изпращане на преписи от него. СЪДИЯ: Производството е по реда на чл.145 и сл. От Административно-процесуалния кодекс (АПК), вр. чл.38, ал.8 от Закона за защита на личните данни (ЗЗЛД). Образувано е по жалба от Р. В. А. срещу Решение ППН-01-94/2022 от 29.02.2024 г. на Комисията за защита на личните данни (КЗЛД или само Комисията), в частта му по точки 2 и 3, с която на основание чл. 38, ал. 3 от ЗЗЛД, КЗЛД се: Обявява жалба с peг. № ППН-01-94 от 02.02.2022 г., подадена от М. С. Г. срещу Р. В. А. в допустимата за разглеждане част за основателна- в частта, съдържаща твърдения за неправомерно събиране на данни - имена, ЕГН, родствени връзки- от Р. В. А. - администратор на лични данни в нарушение на чл. 5, § 2 от Регламент (ЕС) 2016/679, а именно за това, че към 28.09.2021 г. не води каквато и да било документация за дейностите по обработване на лични данни, за които като администратор отговаря, съответно достъп до такава не е осигурен на надзорния орган с цел извършване на наблюдение и преценка на операциите по обработване на личните данни на М. Г.; На основание чл. 58, § 2, буква б) от Регламент (ЕС) 2016/679 отправя до администратора на личните данни - Р. В. А. официално предупреждение за така извършеното нарушение. Наведените основания за оспорване са за допуснати съществени нарушения на административнопроизводствените правила и противоречие с материалноправните норми-чл.146, т.3 и т.4 АПК. Като съществено нарушение на административнопроизводствените правила се твърди произнасянето от КЗЛД по жалба, която е била подадена от лице без правен интерес и при липса на задължително изискуеми реквизити. Потвърждава изложените в решението факти и обстоятелства по повод наличието на съдебни дела, техния предмет, вкл. за направено доказателствено искане в подадена от нея въззивна жалба. В тази връзка посочва, че търсената със съдебното удостоверение, съобразно разпоредбата на чл. 186 от Гражданския процесуален кодекс, информация е била необходима за целите на процеса за доказване на вината на А., както и на обстоятелството, че МПС - съпружеска имуществена общност се стопанисва и управлява от месец ноември 2019 г. до датата на подаване на въззивната жалба изключително от Е. А. и трети лица - Г., с която живее и членове на нейното семейство. Настоява да се извърши преценка на поведението на М. Г., за начина и срока, в който се е снабдила с документите и за разпространението на информация, засягаща нейни лични семейни отношения. Противоречието с материалноправните норми относно точки 2 и 3 на оспореното административно решение не е аргументирано с конкретни доводи. По тези съображения се иска отмяната на решението на Комисията, в оспорените части. Ж албоподателката, ответникът-КЗЛД и заинтересованата страна (ЗС) М. С. Г. депозират писмени становища, но не се явяват и не се представляват в проведеното редовно открито съдебно заседание на 11.24 година. Административен съд София- град, след като обсъди релевираните с жалбата основания и доводите на страните, прецени събраните по делото доказателства и служебно на основание чл.168, ал.1, вр.чл.146 от АПК провери изцяло законосъобразността на обжалвания акт, намира следното от фактическа и правна страна: Преценката за допустимост на жалбата е осъществена с определението от з.з. на 20.05.2024 г. за насрочване на делото в открито съдебно заседание и не е налице изменение на обстоятелствата, което да налага повтарянето й от съда. Разгледана по същество, жалбата е неоснователна. Комисията е била сезирана с жалба с peг. № ППН-01-94 от 02.02.2022 г. подадена от М. С. Г. срещу Р. В. А., с изложени твърдения за извършени нарушения на правилата за защита на личните данни. В жалбата се излага, че Г. живее във фактическо съжителство с лицето Е. Й. А. от около две години, като към началото на това съжителство последният има сключен брак с Р. В. А. - лицето, срещу което се подава жалбата. Впоследствие този брак е прекратен с решение на Софийския районен съд. През месец септември 2021 г. Р. В. А. подава въззивна жалба срещу съдебния акт на Софийски районен съд, като с жалбата отправя и искане за издаване на съдебно удостоверение, по силата на което да се снабди с информация дали Е. А., заедно с М. С. Г., нейния син и нейния брат, е напускал пределите на страната в периода 2020 -2021 година, посочвайки имена и ЕГН, отнасящи се спрямо последните три лица. В жалбата е посочено, че придобиването на тези данни - имена и ЕГН на Г. и за родствените й връзки: син - В. С. Г. и брат - К. С. П., както и отнасящите се до последните две лица имена и ЕГН от Р. А., тяхната употреба и предоставяне на Софийския градски съд по въззивно гр.дело № 1083/2022 е в нарушение на чл. 6, § 1 от Регламент (ЕС) 2016/679, тъй като не е налице нито едно от предвидените в тази разпоредба условия за законосъобразното обработване на личните данни. Заявено е искане КЗЛД да образува производство, да установи нарушение на правилата за защита на личните данни и спрямо Р. А. да бъдат приложени съответни мерки. Р. А. е уведомена за образуваното производство, като й е била дадена възможност за становище, което свое право тя е упражнила. В депозираното становище са изложени доводи за неоснователност на жалбата и са приложени доказателства. В отговор на искане, Софийският районен съд предоставя на КЗЛД подадената до Софийския градски съд въззивна жалба с вх. № 25143569 от 28.09.2021 г. и уведомява Комисията за защита на личните данни, че направеното с т.2 от тази въззивна жалба доказателствено искане е оставено без уважение с определение № 3047 от 05.04.2022 г. на СГС по в. гр. д. № 1083/2022 г., което също прилага. В отговор на искане Главна дирекция „Гранична полиция“ уведомява Комисията за защита на личните данни, че не е установено наличието на подаден от Р. В. А. документ, във връзка с направеното с т. 2 от въззивната жалба доказателствено искане. С решение на Комисията за защита на личните данни от проведено на дата 08.11.2023 г. закрито заседание, обективирано в Протокол № 41/2023 г., жалбата е обявена за процесуално допустима за разглеждане в частта, съдържаща твърдения за неправомерно обработване на лични данни, отнасящи се до Г.- имена, ЕГН, родствени връзки с две лица - син и брат, конституирани са страните: жалбоподател М. С. Торова и ответна страна Р. В. А.; определена е дата за разглеждане на жалбата в открито заседание, с призоваване на страните. На заседанието са присъствали и за решението са гласували председателят и трима от четиримата членове на КЗЛД. В проведеното открито заседание на 07.02.2024 г., Г. е редовно уведомена, не се явява и не изпраща представител; ответната страна, редовно уведомена, се явява лично; жалбата е разгледана по същество и е приет проекта на решение с т.4 от Протокол 5/07.02.2024 година на КЗЛД. На заседанието са присъствали председателят и трима от четиримата й членове, като решението е взето единодушно. С оспорената пред съда част от административното решение, КЗЛД: Обявява жалба с peг. № ППН-01-94 от 02.02.2022 г., подадена от М. С. Г. срещу Р. В. А. в допустимата за разглеждане част за основателна- в частта, съдържаща твърдения за неправомерно събиране на данни - имена, ЕГН, родствени връзки- от Р. В. А. - администратор на лични данни в нарушение на чл. 5, § 2 от Регламент (ЕС) 2016/679, а именно за това, че към 28.09.2021 г. не води каквато и да било документация за дейностите по обработване на лични данни, за които като администратор отговаря, съответно достъп до такава не е осигурен на надзорния орган с цел извършване на наблюдение и преценка на операциите по обработване на личните данни на М. Г.; На основание чл. 58, § 2, буква б) от Регламент (ЕС) 2016/679 отправя до администратора на личните данни - Р. В. А. официално предупреждение за така извършеното нарушение. При тези фактически установявания съдът обуславя следните правни изводи: Оспореното решение е издадено от компетентен орган-КЗЛД. Компетентността на Комисията произтича от чл.38, ал.3, вр. ал.1 ЗЗЛД. В съотв. с тях, КЗЛД се произнася с решение при сезиране от субекта на данни за нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД. Предвид липсата на изрична норма в специалния приложим закон- ЗЗЛД относно формата на решението, приложими са изискванията на чл.59, ал.2 АПК, които в случая са били спазени. Не са допуснати и съществени нарушения на административно-производствените правила, които да водят до нищожност или незаконосъобразност/унищожаемост на оспореното решение. Волята на Комисията като колегиален орган (чл.7, ал.1 ЗЗЛД) е валидно формирана. КЗЛД е заседавала при наличие на кворум-в 4-членен състав, като решението е взето единодушно. Решението е взето при спазване на изискванията на провеждане на административното производство, установени в Правилника за дейността на КЗЛД и нейната администрация (ПДКЗЛДНА или Правилника). Жалбата е приетаа за допустима с решение в закрито заседание - чл.38, ал.1 от Правилника. По същество жалбата на Г. е разгледана в открито заседание, за което страните са били уведомени-чл.40, ал.1 от Правилника. Релевантните по случая факти за решаване на спора по същество са били правилно установени, а и за тяхното осъществяване по начина, възприет от Комисията, страните в съдебното производство не спорят. Обратно на доводите на жалбоподателя в съдебното производство, жалбата на Г. правилно е приета за допустима от КЗЛД. Съгласно чл. 27, ал. 2 от АПК, административният орган проверява предпоставките за допустимостта на искането, с което е сезиран. Законодателят обвързва преценката на допустимостта на искането с правния интерес на заявителя (чл. 27, ал. 2, т. 5 от АПК) и наличието на специални изисквания, установени със закон, за които съответният административен орган да следи служебно (чл. 27, ал. 2, т. 6 от АПК). Правомощието на Комисията по чл. 10, ал. 1, т. 7 от ЗЗЛД е да разглежда жалби срещу актове и действия на администратори на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД. С оглед разпоредбите на чл. 10, ал. 1, т. 7, във връзка с чл. 38, ал. 1 от ЗЗЛД и чл. 27, ал. 2, т. 5 и т. 6 от АПК, и наличието на подадена от М. Г. жалба за неправомерно обработване на личните й чрез действия по събиране и разпространяването им, то за последната е налице правен интерес. Жалбата е съобразена в цялост с изискванията за редовност, съгласно чл. 30, ал. 1 от ПДКЗЛДНА, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис. Нормата на чл. 38, ал. 1 от ЗЗЛД предвижда преклузивен срок за сезиране на Комисията - в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му. Предвидените в чл. 38, ал. 1 от ЗЗЛД срокове са спазени. Решението е издадено при спазване на приложимите материалноправни норми и в съответствие с целта на закона, по следните съображения: Считано от 25.05.2018 г. се прилага Регламент /ЕС/ 2016/679, който има пряко действие. Административният акт е постановен на 29.02.2024 г. и е съобразен с действащия към този момент материален закон. В разпоредбата на чл. 4, т. 7 от Регламент 2016/679 се определя, че администратор на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с друг определя целите и средствата за обработване на лични данни, когато целите и средствата за това обработване се определя от правото на съюза или правото на държавата членка. В т. 8 от Регламента е дадена и дефиницията на „обработващ лични данни“, а именно: „физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора“. В този смисъл, за да носи отговорност едно лице за обработване на личните данни на друго лице в нарушение на ЗЗЛД и Регламент 2016/679, то лицето използващо неправомерно данните следва да има качеството „администратор“ или „обработващ лични данни“. Съгласно легалното определение на чл. 4, ал. 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Осъщественото от Р. А. събиране на трите имена и ЕГН на М. Г., и за това, че лицата К. С. П. и В. С. Г. се явяват членове на нейното семейство, попада в хипотезата на обработване на лични данни съгласно легалната му дефиниция в чл. 4, т 2 от Регламент /ЕС/ 2016/679, тоест Р. А. е администратор на лични данни по смисъла на цитираната правна уредба. Според поставеното в чл. 5 от Регламент 2016/679, личните данни следва да се обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“); да се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“); да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“); да са точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“); да са съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“); да са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“). В съответствие с Принципа за отчетност, регламентиран от чл. 5, § 2 от ОРЗД, администраторът на лични данни носи отговорност и следва да е в състояние - във всеки момент, да докаже - при обработване личните данни на физическото лице, спазване на принципите, закрепени в чл. 5, § 1 от регламента. В хода на административното производство и в последвалото съдебно такова не са представени доказателства за източника на получаване на информация за имената, ЕГН на М. Г. и за това, че лицата К. С. П. и В. С. Г. се явяват членове на нейното семейство, нито за правното основание за снабдяване с тези данни. Както правилно е посочила Комисията, последното обстоятелство препятства и КЗЛД, а и АССГ да извърши преценка дали и доколко тази обработка на данните е извършена съобразно основополагащите принципи при обработване на личните данни по чл. 5, § 1 от Регламент (ЕС) 2016/679. Следователно, жалбоподателят не е в състояние да докаже спазването на изискванията за обработване на личните данни на физическите лица, предвидени в чл. 5, § 1 от ОРЗД, което се явява нарушение на разпоредбата на чл. 5, § 2 от ОРЗД и на закрепения в нея принцип на отчетността. По отношение на т.3 от оспореното решение, Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените й функции преценява кое от корективните правомощия по чл.58, § 2 от Регламент (ЕС) 2016/679 да упражни. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице- субект на данни, както и на обществения интерес. Правомощията по чл.58, § 2 от Регламент (ЕС) 2016/679, без това по б. „и“, имат характера на принудителни административни мерки (ПАМ), чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне целеното поведение в областта на защитата на личните данни. Административното наказание „глоба“ или „имуществена санкция“, предвидено в б. „и“ на чл.58, § 2 има санкционен характер и се прилага в допълнение към мерките по б. „а“ – б. „з“ и б. „й“ или вместо тях. Изцяло от преценката на надзорния орган зависи дали да приложи спрямо конкретния случай някоя от ПАМ, регламентирани в б. „а“ – „з“ и „й“ или да наложи административно наказание „глоба“ или „имуществена санкция“, или да приложи и някоя от мерките съвместно с административно наказание по б. „и“. При определяне на корективната мярка следва да бъде съобразена целта, която се преследва с налагането й и дали с изпълнението й тази цел ще бъде постигната. В конкретния случай съдът намира, че правилно КЗЛД е приела за приложима корективната мярка по чл. 58, § 2, б. "б" от Регламент /ЕС/ 2016/679. Предвид изложените в оспореното решение съображения, изборът на мярка от КЗЛД се явява подходящ и съответен, имащ предупредителен ефект спрямо конкретиката на случая. Данните по делото сочат на конфликтни отношения между бивша съпруга и новата партньорка на бившия съпруг, като извършеното нарушение на Регламент (ЕС) 2016/679 изглежда да е мотивирано именно от тях и да е за целите на развилите се съдебни производства във връзка с прекратяването на брака. В този смисъл извършеното има инцидентен характер, провокирано е от конкретен семеен конфликт и не сочи на поведение, трайно незачитащо отношенията, свързани със защитата на личните данни. С оглед на изложеното, съдът намери, че оспореното решение на КЗЛД, в частта му по т.2 и т.3, съответства на приложимите материалноправни норми и на целта на закона-чл.146, т.4 и т.5 АПК, съответно жалбата е неоснователна и следва да се отхвърли. При този изход на спора и на основание чл.143, ал.3 и ал.4 АПК, право на разноски имат ответникът и ЗС, за което оспореното решение е благоприятно. Правото е упражнено своевременно (чл.81 от ГПК, вр. чл.144 АПК ) само от ответника, като е поискано присъждането на юрисконсултско възнаграждение с депозираното по делото на 27.09.24 година писмено становище. Предвид реално осъществената защита от юрисконсулт, изразяваща се в депозиране на писмено становище, без участие в съдебно заседание, невисоката фактическа и правна сложност на делото, съдът определя юрисконсултско възнаграждение в минималния размер за административно дело без материален интерес- чл.24 от Наредбата за правната помощ. Воден от гореизложеното и на основание чл.172, ал.2 АПК, Административен съд София-град, Второ отделение, 23-ти състав Р Е Ш И: ОТХВЪРЛЯ жалбата на Р. В. А. срещу Решение ППН-01-94/2022 от 29.02.2024 г., на КЗЛД, в частта му по т.2 и т.3 (точки две и три). ОСЪЖДА Р. В. А. с ЕГН [ЕГН] да заплати на Комисията за защита на личните данни сумата от 100 (сто) лева, юрисконсултско възнаграждение Решението може да бъде оспорено с касационна жалба в 14-дневен срок от съобщаването му пред Върховния административен съд. Решението да се съобщи на страните чрез изпращане на преписи от него. СЪДИЯ: Р Е Ш И: