Решение № 617 от 25.1.2024 г. на Административен съд - София-град по дело № 8125/2022 г.

Производството е по реда на чл. 38, ал. 8 от Закона за защита на личните данни (ЗЗЛД) във вр. с чл. 145 – чл. 178 от Административнопроцесуалния кодекс (АПК). Образувано е по жалба на „Делта Клауд“ООД, ЕИК[ЕИК], срещу решение № ППН-01-610/2019г. от 15.10.2020г. на Комисията за защита на личните данни / КЗЛД/, в частта му, с която е обявена жалба рег. № ППН-01-610/02.07.2019г., подадена от С. П. Н., за основателна спрямо жалбоподателя за нарушение на чл. 5, пар. 1, б. „а“ и “е“, чл. 12 и чл. 27 от Регламент 2016/679 и на основание чл. 58, пар. 2, б. „е“ от Регламент 2016/679 е наложена на „Делта Клауд“ООД временна забрана за обработване на лични данни на сайта https: //bgrabotodatel.com до предоставяне на доказателства за привеждане на дейността по обработване на лични данни с разпоредбите на Регламент 2016/679. Поддържа се в жалбата становище за незаконосъобразност на обжалвания административен акт поради противоречието му с материалния закон, тъй като неправилно жалбоподателят, с оглед доставената от него хостинг услуга, при която единствено съхранява информация, администрирана от ползвателя на хостинг услугата, е определен като администратор на личните данни, вместо като обработващ. В съдебното заседание жалбоподателят, редовно призован, се представлява от адв. Батлева, която поддържа жалбата. Претендира сторените по делото съдебни разноски. Ответникът – Комисията за защита на личните данни /КЗЛД/, оспорва жалбата. В съдебното заседание не се представлява. Претендира юрисконсултско възнаграждение. Заинтересованата страна С. П. Н., редовно призована, не се явява и не се представлява в съдебното заседание. С представения писмен отговор оспорва жалбата. Излага съображения, че доколкото жалбоподателят - хостинг компания, определя начина на съхранение - къде и как ще бъде съхранявана информацията на ползвателя на неговите услуги, т.е., определя средствата за обработване на личните данни, той се явява техен съвместен администратор заедно с „Cloudwalk Hosting Solution P. L. – Baboo Ram; още повече, че част от съдържанието се създава от трети лица /най- често анонимни/ - ползватели на уебсайта. Поддържа становище, че дори да е само обработващ личните данни, жалбоподателят има задължения във връзка със защитата на личните данни. Заинтересованата страна - Cloudwalk Hosting Solution P. L. – Baboo Ram - И., не взема становище по делото и не се представлява в съдебно заседание. С. градска прокуратура не взема становище по жалбата и не се представлява в производството. Съдът, като прецени събраните по делото доказателства, поотделно и в тяхната съвкупност, във връзка с доводите и твърденията на страните, приема за установено следното от фактическа страна: Не се спори по делото, а и се установява от представените писмени доказателства, че КЗЛД е сезирана с жалба рег. № ППН-01-610/02.07.2019г. от С. П. Н., в която са изложени твърдения, че през месец май 2019г. е установила неправомерно обработване на нейни лични данни – имена, телефон, линк към личен профил в социална мрежа, на уебсайт https: //bgrabotodatel.com/company/10210287/page: 2 в коментар от потребител. Последното обстоятелство е установено по административната преписка и не се оспорва по делото. Установено е, че ползвател на IP адреса на сайта https: //bgrabotodatel.com е „Cloudwalk Hosting Solution P. L. – Baboo Ram“, с адрес в И., като сайтът се хоства на сървър на жалбоподателя. С решение от проведено на 05.02.2020 г. заседание на КЗЛД, обективирано в протокол № 5/2020 г., е прието становището на Дирекция „Правни производства и надзор“, като жалбата е обявена за допустима и е насрочена за разглеждане по същество в открито заседание. Като страни в производството по същата са конституирани жалбоподателят С. П. Н. и ответни страни - „Делта Клауд“ООД и „Cloudwalk Hosting Solution P. L. – Baboo Ram“-И.. Жалбоподателят в настоящото производство - „ Делта Клауд“ ООД, е уведомен за постъпилата жалба и образуваното въз основа на нея административно производство, като му е дадена възможност за депозиране на становище. Постъпило е становище, в което е изложено, че дружеството само съхранява на сървъра си данните, обработвани от „Cloudwalk Hosting Solution P. L. – Baboo Ram“. Сочи, че съгласно чл.16 и чл.17 ЗЕТ не отговаря за съдържанието на съхраняваната от него информация. По делото са представени Общи условия на „Делта Клауд“ ООД на предлаганите от него информационни ресурси и услуга „Виртуален сървър“, при които дружеството предоставя свободно пространство на сървъра си, на което потребителят има право да публикува и споделя информация. На 25.03.2020 г. е проведено заседание на КЛЗД, на което жалба с рег. № ППН-01-610 от 02.07.2019 г. е разгледана по същество, като е предложен проект на решение и е определен срок за изготвянето му до 25.04.2020 г. Последвало е постановяване на оспореното в настоящото производство решение № ППН-01-610/2019г. от 15.10.2020г. на КЗЛД, с което жалба с рег. № ППН-01-610/02.07.2019г., подадена от С. П. Н., е обявена за основателна спрямо „Делта Клауд“ ООД и „Cloudwalk Hosting Solution P. L. – Baboo Ram“ - И. за нарушение на чл.5, пар. 1, б. „а“ и “е“, чл. 12 и чл. 27 от Регламент 2016/679 и на основание чл.58, пар. 2, б. „е“ от Регламент 2016/679 е наложена на администраторите „Делта Клауд“ООД и „Cloudwalk Hosting Solution P. L. – Baboo Ram“ - И. временна забрана за обработване на лични данни на сайта https: //bgrabotodatel.com до предоставяне на доказателства за привеждане на дейността по обработване на лични данни с разпоредбите на Регламент 2016/679. Решението е прието единодушно от всички членове на комисията. За да постанови решението си по отношение на жалбоподателя „Делта Клауд“ООД, КЗЛД е приела, че доколкото в случая обработването на лични данни се осъществява чрез уебсайт, който се администрира от „Cloudwalk Hosting Solution P. L. – Baboo Ram“-И., а „Делта Клауд“ ООД предоставя сървър за хостването му, целите и средствата на обработването са определени съвместно – предоставяне на съдържание в интернет /целта/ чрез уебсайт /средството/, поради което двете дружества са съвместни администратори. Оспореният административен акт е връчен на жалбоподателя на 19.10.2020г. При така установеното от фактическа страна съдът формира следните правни изводи: Жалбата е допустима, тъй като е подадена в срока по чл. 38, ал. 8 ЗЗЛД, срещу административен акт, подлежащ на съдебно оспорване, от надлежна страна - адресат на оспорваното решение, и при наличие на правен интерес. Разгледана по същество, жалбата е неоснователна. Според разпоредбата на чл. 168 във вр. с чл. 146 АПК съдът следва да провери издаден ли е актът от компетентен орган и в предписаната от закона форма, спазени ли са материалноправните разпоредби и административнопроизводствените правила и съобразен ли е актът с целта на закона. Оспореното решение е издадено от компетентен административен орган – Комисията за защита на личните данни, предвид правомощията й по чл.10 и чл. 10а ЗЗЛД, съответно чл.57 и чл.58 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/, вр. чл.38 ЗЗЛД, да разглежда жалби срещу актове и действия на администраторите, с които се нарушават правата на физическите лица по този закон. Съгласно чл. 51, § 1 от Общия регламент относно защитата на данните всяка държава членка осигурява един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент, за да се защитят основните права и свободи на физическите лица във връзка с обработването и да се улесни свободното движение на личните данни в рамките на Съюза /"надзорен орган"/. В Общия регламент относно защитата на данните - чл. 52, чл. 53 и чл. 54, е предоставена свобода на преценка на националния законодател при уреждането със закон на общите условия за избор или назначаване на надзорните органи, изискванията за независимост и правилата за създаването на органите. Продължителността на мандата на надзорните органи, съгласно чл. 54, пар. 1, б. "г" от Регламент (ЕС) 2016/679, е предмет на регламентация от всяка държава членка със закон. Разпоредбата на чл. 7, ал. 2 ЗЗЛД, съгласно която председателят и членовете на комисията изпълняват функциите си и след изтичането на мандата им до избора на новите председател и членове, изцяло отговаря на изискването за наличие на конкретна национална правна уредба, която да регламентира въпроса с продължителността на мандата на КЗЛД. При това положение съдът приема, че оспореното решение е издадено от компетентен по време орган. Актът е приет при минимално изискуемия по закон кворум и с необходимото мнозинство - чл. 9, ал. 3 ЗЗЛД. Съгласно чл. 7, ал. 1 ЗЗЛД комисията е колегиален орган и се състои от председател и 4 членове. Решенията се вземат с мнозинство от общия брой на членовете ѝ, като се подписват от всички членове, участвали в гласуването. Спазена е установената от закона форма - актът е в писмена форма, посочени са фактически и правни основан ия за издаването му. Решението съдържа изискуемите съобразно разпоредбата на чл.59, ал.2 АПК реквизити. При постановяване на оспорения акт органът не е допуснал съществени нарушения на административнопроизводствените правила, които да съставляват самостоятелно основание за отмяната му. Производството е образувано в съответствие с разпоредбата на чл. 38, ал. 1 ЗЗЛД във вр. с чл. 26 и сл. от ПДКЗЛДНА. За образуваното производство са уведомени подателят на жалбата и заинтересованите страни. На 05.02.2020 г. е проведено закрито заседание по реда на чл.38, ал.1 от ПДКЗЛДНА, на което жалбата е приета за редовна и допустима. Насрочено е открито заседание, за което страните са уведомени, като им е указана и възможността за достъп до материалите по преписката. При разглеждане на спора КЗЛД е изяснила релевантните за случая факти и обстоятелства и е събрала относимите доказателства. Предвид гореизложеното съдът приема, че оспореният акт е постановен в съответствие с процесуалните правила за това, като органът не е допуснал съществени нарушения на административнопроизводствените правила, водещи до отмяна на решението на процесуално основание. Освен това, настоящият съдебен състав поддържа становището, че съществено е това процесуално нарушение, при което или е нарушено правото на защита на засегната страна, или ако не беше допуснато, органът би стигнал до различен от отразения в решението извод. Т. не се констатира, поради което следва да се извърши проверка за съответствието на акта с материалния закон – чл. 146, т. 4 АПК. В тази връзка съдът съобрази следното: Съгласно чл. 57, §1, б. „е“ от Регламент 2016/679 във връзка с уточнението, направено в съображение 122 към Регламента, при сезирането й Комисията разглежда жалби, подадени от субекти на данни срещу администратор или обработващ лични данни, публичен орган или частна структура, действаща в обществен интерес. Комисията за защита на личните данни е сезирана с жалба, съдържаща твърдения за публикувани без съгласие на жалбоподателя С. П. Н. и обработвани без правно основание лични данни и невъзможност за осъществяване на контакт с администратора на лични данни с искане за изтриването им. Съгласно чл.4 от Регламента „лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице, а „обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Публикуването на лични данни на уебсайт представлява разпространяването им като операция по обработване на личните данни по см. на чл. 4, пар. 2 от Регламент (ЕС) 2016/679, тъй като по този начин същите стават достъпни за неограничен кръг трети лица за неопределен срок от време. Според дефиницията, дадена в чл. 4, пар. 7 от Регламент (ЕС) 2016/679 "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. До изменението на ЗЗЛД, обн. ДВ, бр. 17/26.02.2019 г., националното законодателство предвижда регистрационен режим за администраторите на лични данни – чл. 17 и сл. от ЗЗЛД, с редактирано съдържание към настоящия момент, в който липсва подобно изискване, а е налице само препращане към дефиницията от регламента (§ 1, т. 2 от допълнителните разпоредби на ЗЗЛД). При анализа на тези норми се налага извод, че и по отношение на администратора на лични данни е необходимо да съществува легитимно основание за обработване на лични данни на физически лица, а това право не възниква за тях само в резултат от качеството им на администратори по отношение на неограничени по вид и обем лични данни. Така решение № 11300 от 20.11.2023 г. на ВАС по адм. д. № 1422/2023 г. В чл. 6, § 1, б. "а" - "е" от Регламент (ЕС) 2016/679 са изброени основанията за законосъобразно обработване, а именно само ако и доколкото е приложимо поне едно от следните условия: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необх