Решение № 2966 от 29.1.2025 г. на Административен съд - София-град по дело № 6773/2024 г.

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ във връзка с чл. 38, ал. 6 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба на Софийски районен съд /СРС/, представляван от председателя АЛ. А., срещу Решение № ЛДС-23-3/20.06..02.2024 г. на Инспектората при Висш съдебен съвет /ИВСС/.

С решението, на основание чл. 84, ал. 1 и 2 ЗЗЛД във връзка с чл. 58, § 2, 6. „6“ и б. „г“ от Регламент (ЕС) 2016/679, Инспекторатът към ВСС налага на администратора на лични данни СРС принудителни административни мерки, а именно:

1. Отправя официално предупреждение до администратора СРС по чл. 58, § 2, б. „б“ от Регламент (ЕС) 2016/679 за допуснатото нарушение на чл. 5 § 1 б. "а" и б. "е" и чл. 32, § 1 от Регламент (ЕС) 2016/679;

2. Разпорежда на Софийски районен съд, на основание чл. 58, § 2, б. „г“ от Регламент (ЕС) 2016/679, да съобрази операциите по обработването на лични данни, както следва:

• Да разработи вътрешни правила, уреждащи компетенциите и реда, по който отделните съдебни секретари, съдебни деловодители, системни администратори или съдиите, ще участват в процеса на публикуване на съдебните актове, като се разпределят и техните отговорности. Да се актуализират длъжностните характеристики на съдебните служители в СРС, на които са вменени конкретни задължения, свързани с процедурата по обезличаване на съдебните актове в ЕИСС и АСУД, публикуване на съдебните актове в интернет страницата на съда, извършване на корекции в съдържанието или изтриване на вече публикуван съдебен акт;

• Да изготви и поддържа регистър на операциите по изтриванията, извършени в ЕИСС, който да осигурява проследимост, контрол и управление на действията на служителите със съответните права. Да се допълни съдържанието на образеца на „Искане за извършване на корекции“, приложение към заповед № АС-147/25.06.2016 г. и в него се отбележат дата на искането, кога е извършено изтриването в системата, кой е извършил действието по изтриване;

• Да предвиди във вътрешните Правила за мерките и средствата за защита на личните данни, обработвани в СРС, технически и организационни мерки за гарантиране на поверителността на личните данни, предвиждащи извършване на периодични проверки за достъпване на информация по делата от неоправомощени служители, които са обаче потребители в ЕИСС, в нарушение на принципа „необходимост да се знае“.

Указва на администратора на лични данни Софийски районен съд да изпълни разпорежданията по т. 2 в тримесечен срок от влизане в сила на настоящото решение, като за изпълнението му да бъде уведомен Инспекторатът към ВСС.

Решението се оспорва като незаконосъобразно - издадено в противоречие с материалния закон и недопустимо – при допуснати съществени нарушения на адм. – производствените правила. Жалбоподателят не представлявал субект на адм. нарушение по ЗЗЛД, понеже не бил администратор на лични данни. В с.з. се представлява от Т. ДЖУРИНА – лице с юрид. правоспособност, която поддържа жалбата, иска решението да бъде отменено като незаконосъобразно по съображенията, изложени в жалбата. претендира разноски за юрисконсултско възнаграждение.

Ответникът - ИВСС, редовно призован, чрез юриск. К. излага съображения за неоснователност на жалбата, вкл. и в подробни писмени становища. Претендира присъждане на юрисконсултско възнаграждение.

Прокурор от Софийска градска прокуратура, редовно призована, не взема участие в производството по делото и не изразява становище по законосъобразността на оспорения акт.

Административен съд – [област] – град, като обсъди релевираните с жалбата доводи и прецени събраните по делото доказателства по реда на чл. 235, ал. 2 ГПК, във вр. с чл. 144 АПК, намира за установено следното от фактическа страна, изложено в процесното решение по следния начин, като не се оспорва от страна на жалбоподателя:

Производството е по преписка с вх. per. № ЛДС-23-3/29.08.2023 г. по описа на ИВСС и е проведено по реда на чл. 94з от Правилника за организация на дейността на Инспектората към Висшия съдебен съвет и за дейността на администрацията и на експертите (ПОДИВССДАЕ). Образувано е по уведомление с вх. № 23862/29.08.2023 г., подадено от Софийски районен съд, в качеството му на администратор на лични данни, във връзка с правомощията за разследване на Инспектората към ВСС по чл. 54, ал. 2 ЗСВ, чл. 58, ал. 1, 6. „б“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. /Регламент (ЕС) 2016/679 или Общият регламент/ и чл. 17, ал. 1, т. 1 ЗЗЛД, вр. с чл. 33 от Регламент (ЕС) 2016/679, включително да разглежда уведомления за нарушения на сигурността на личните данни, подадени от органи на съдебната власт.

Сочи се в оспореното решение, че в случай, че нарушението на сигурността създава вероятност от риск за правата и свободите на засегнатите субекти и касае обработване на лични данни в рамките на правораздавателната дейност на съда, в чл. 33, § 1 от Регламент (ЕС) 2016/679 е предвидено задължение, веднага след като установи нарушението администраторът да уведоми надзорния орган - ИВСС без ненужно забавяне и не по-късно от 72 часа след узнаване за нарушението. В изпълнение на това задължение, на 29.08.2023 г., председателят на Софийския районен съд /СРС/ е уведомява ИВСС за допуснато нарушение на сигурността на лични данни на физическо лице, събрани и обработвани от Софийския районен съд по гр.д. № 13103/2023 г., 83 състав, явяващо се нарушение на чл. 64 ЗСВ, във вр. с чл. 4, т. 12 от Регламента. В уведомлението се твърди, че на 19.07.2023 г., на страницата на Софийски районен съд, Раздел „Информация за дела“, подраздел „Съдебни актове“ и в ЕПЕП, раздел „Съдебни дела“, данни за конкретно дело, е публикуван съдебен протокол № 18467 от проведено на 18.07.2023 г. открито съдебно заседание по гр.д. № 13103/2023 г. по описа на СРС, 83 състав, без анонимизиране на лични данни на физическо лице - свидетел по делото. По – конкретно, лицето е идентифицирано в протокола с три имена, номер на лична карта и възраст. Посочва се, че администраторът е бил сигнализиран за нарушението на 28.08.2023 г. по електронна поща от журналиста в „Новините на Нова“ (NOVA TV) - М. Т.. В уведомлението се твърди, че от 25.08.2023 г. протокол № 18467 от 19.07.2023 г. не е достъпен в публичното пространство и е върнат за обезличаване в ЕИСС. В акта се сочи, че към онзи момент администраторът не е извършил преценка за тежест и вероятност за настъпване на негативни последици за субекта на данни, респ. не е анализирал риска за правата на субекта на данни, но е уведомил ИВСС, че е възложено извършване на проверка от съдебния администратор на СРС за установяване на лицето, допуснало нарушението на сигурността на личните данни. Предприети са също така действия по уведомяване на Висшия съдебен съвет (ВСС) за недостатъците на ЕИСС, които не позволяват автоматично анонимизиране на съдебните актове. Администраторът заявява, че допълнителни действия ще бъдат предприети съобразно констатациите от вътрешната проверка.

От ИВСС, с писмо изх. № ЛДС-23-3/31.08.2023 г. от администратора на лични данни СРС е изискана допълнителна информация по следните въпроси:

1. Приети ли са вътрешни правила/ политика/ ръководство за защита на личните данни при публикуване на информация по съдебни дела? 2. Определени ли са задълженията и отговорностите на служителите, които осъществяват операциите по публикуване на информация по съдебни дела? 3. Служителите, които осъществяват операциите по публикуване на информация по съдебни дела, запознати ли са с правилата за защита на личните данни? 4. Съществува ли план за действие при случайни събития/непредвидени случаи? 5. Дали в конкретния случай съдебният протокол е достъпван, колко пъти и от колко IP адреса в периода, в който той е съдържал лични данни в обем, непропорционален на целите на публикуването, и е бил достъпен на интернет страницата на СРС? Освен изисканата информация, на администратора е указано да представи: заверени копия на първоначално публикувания съдебен протокол; сигнала от 28.08.2023 г. от журналиста на NOVA TV, с който СРС е бил уведомен за допуснатото нарушението на сигурността; всички относими материали, с които случаят е документиран на основание чл. 33, § 5 от Регламент (ЕС) 2016/679; копие от уведомлението до ВСС за недостатъците на ЕИСС, както и материалите от вътрешната проверка в СРС.

От представеното копие от сигнал, изпратен по имейл на СРС с вх. № 29005431/28.08.2023 г. по описа на съда, се установява, че на 25 август 2023 г. - петък, в 15: 45, на имейл адрес [електронна поща].bg на Пресслужбата на съда, с копие до личния имейл на пресаташето на СРС Р. А. [електронна поща], е получен сигнал от М. Т., журналист в „Новините на Нова“, с молба за интервю или официална позиция относно сигнал от зрител за изнесени негови лични данни, публично, по гр. дело № 13103 в платформата за електронно управление. В сигнала се посочва, че личните данни с имената и номера на личната карта на лицето са публикувани в протокол № 18467 от 19.07.2023 г. Информацията за това била споделена и в сайта Dela.bg. Необходимо е да се отбележи обстоятелството, че този сайт не се администрира нито от СРС, нито от ВСС. По отношение на достъпването на съдебния протокол, администраторът не е могъл да извърши проверка, тъй като няма разработена функционалност на интернет страницата на СРС, позволяваща да се извършва проверка за достъпване на публикувани съдебни актове от страна на външни потребители. В тази връзка посочва, че публикуваният съдебен протокол е бил достъпен на интернет страницата на СРС в периода от 19.07.2023 г. до 13: 55 на 25.08.2023 г., когато е бил свален и изтрит, незабавно след получаването на информация във връзка със сигнала от страна на ръководството на съда.

С писма, изх. № ЛДС-23-3 от 19.09.2023 г., 30.10.2023 г. и 14.11.2023 г. от ВСС, който е администратор на сървъра, поддържащ информационната система ЕПЕП, част от която е интернет сайта на СРС, е изискана допълнителна информация от данните, съхранявани на сървърите на електронните системи:

1. Извадка от системния дневник (LOG файл) за операциите по отношение на публикувания на 19.07.2023 г. на интернет страницата на СРС на адрес [интернет адрес] и в ЕПЕП на адрес [интернет адрес] съдебен протокол № 18467 по гр.д. № 13103/2023 г.;

2. Справка дали съдебният протокол е достъпван, колко пъти и от колко IP адреса в периода от 19.07.2023 г. до 25.08.2023 г.;

3. Извадка от журналните записи на ЕИСС за това кой, кога и какви действия е извършвал по отношение на публикувания на 19.07.2023 г. съдебен протокол;

4. Какъв е алгоритъмът на действие на ЕИСС по отношение на обезличаването на документите, подлежащи на публикуване - какво се прави автоматично и какви контроли са заложени.

ВСС не изпраща изисканата версия на файла от ЕИСС от 19.07.2023 г., съдържащ протокола, която е била публикувана с необезличени лични данни, като посочва, че обезличеният файл, публикуван от СРС, е бил свален с нарочна заявка за изтриване от ЕПЕП (метод delete), а копие на свалени от съдилищата документи не се запазват в базата данни на ЕПЕП. В тази връзка ИВСС изисква от ВСС извадка от журналните записи на СУБД и/или базата данни и/или АИС ЕПЕП за това кой, кога и как е премахнал от ЕПЕП съдебния протокол от 19.07.2023 г. Извадката от журналните записи на ЕИСС за това кой, кога и какви действия е извършвал по отношение на публикувания на 19.07.2023 г. съдебен протокол № 18467 показа, че влязъл в сила протокол № 18467/18.07.2023 г. (подписан от съдия С. Ч. на 19.07.2023 г. в 14: 14: 11) е обезличен на 19.07.2023 г. в 15: 12: 51 от потребител Р. И. С. - Камбушева ([електронна поща].bg) и публикуван от същия потребител на 19.07.2023 г. в 15: 12: 53, т.е. касае се за напълно механично действие, защото обезличаването е станало в рамките на 1 секунда. От представения по преписката доклад от съдебния администратор на СРС от 20.09.2023 г. става ясно, че извършената вътрешна проверка на случая е установила, че Р. С. - съдебен деловодител на 83 състав е служителят, който е публикувал протокола. Администраторът СРС представя на ИВСС заверено копие на публикувания съдебен протокол, от който е видно, че в съдържанието му не са заличени лични данни относно физическата идентичност на един субект, Й. И. Д., който е бил допуснат и разпитан като свидетел по гр.д. № 13103/2023 г. След извършения анализ на постъпилата информация ИВСС установява, че обработваните данни са „обикновени“ категории, не засягат мащабно субектите на данни, а само един субект, като е станало възможно разкриването на трите имена, възрастта и номер на документа му за самоличност пред неограничен кръг лица, и при обработването им не е налице неблагоприятно въздействие върху жизненоважни негови интереси.

Администраторът е идентифицирал като главна причина за допуснатото нарушение на сигурността несъвършенствата на модула за обезличаване на съдебните актове в ЕИСС, който не е разпознал наличието на имената и номера на личната карта на свидетеля в протокола от съдебното заседание. Според администратора се касае за лични данни, които модулът следва да обезличава автоматично.

В тази връзка, като предприета мярка за справяне с нарушението на сигурността на личните данни СРС представя писмо, изх. № 9002333/12.09.2023 г. до Комисия „Професионална квалификация и информационни технологии“ към Пленума на ВСС, в което излага съображения за наличие на системен проблем във функционалността на ЕИСС за обезличаване на лични данни.

На основание чл. 18, ал. 1 и чл. 17, ал. 1, т. 1 от Закона за защита на личните данни (ЗЗЛД) и чл. 54, ал. 2 и чл. 58 от Закона за съдебната власт, и в изпълнение на Заповед № ЛДС-23-3/01.02.2024 г. на главния инспектор на ИВСС, в периода от 05.02.2024 г. до 07.02.2024 г. се извършва проверка на място в СРС, Гражданско отделение. Предмет на проверката са предприетите от СРС, в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679, технически и организационни мерки за защита на правата на субектите на данни при заличаване на лични данни в публикуваните съдебни актове и протоколи от съдебни заседания на интернет страницата на съда и в ЕПЕП, като обхватът й включва периода от 01.01.2023 г. до датата на проверката.

В акта се приема, че Софийският районен съд, в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679, събира и обработва лични данни при осъществяване на правораздавателната дейност. Чрез ЕИСС Софийският районен съд изпълнява задълженията на съдилищата по чл. 64 ЗСВ да публикуват незабавно в интернет актовете на съда, в следствие на което гражданите имат достъп до постановените съдебни актове, както и до информация относно движението на делата. Информацията е достъпна за ползване чрез сайта на СРС и ЕПЕП, част от който е интернет страницата на съда. Съдебните актове са достъпни веднага след привеждането им във вид, който трябва да съответства на ЗЗЛД и ЗЗКИ. Публикуването на съдебните актове е пряко свързано с правилното организиране и функциониране на деловодната и информационна система на съда, като в СРС се използват специалните модули на ЕИСС и АСУД. В изпълнение на задълженията си за законосъобразно обработване на личните данни при публикуване на информация по съдебни дела, през проверявания период, от 01.01.2023 г. до датата на проверката, 05.02.2024 г., СРС е приел следните актове и е извършил следните действия:

В съда действат Правила за мерките и средствата за защита на личните данни, обработвани в Софийски районен съд, утвърдени със Заповед № АС- 571/07.12.2021 г. на председателя на СРС, които касаят задълженията на СРС като администратор на лични данни и като обработващ лични данни. В чл. 9 от тези правила са регламентирани техническите и организационни мерки за защита на данните, общи за всички операции (дейности) по обработване на лични данни и обхващат аспектите на физическа, персонална и документална защита, и защита на автоматизираните информационни системи и/или мрежи. Конкретно, по отношение на публикуването на информация по съдебни дела, административният ръководител на СРС, в изпълнение на чл. 80, ал. 1, т. 15 ЗСВ, е организирал публикуването на съдебните актове при спазването на изискванията за защита на личните данни на участниците в съдебните процеси. За целта са издадени вътрешни заповеди, с които е указано/наредено на съдебните служители кои съдебни актове подлежат на публикуване и съответно, че следва да се публикуват след задължително обезличаване на съдържащите се лични данни. Съдебните служители са запознати с вътрешните правила за мерките и средствата за защита на личните данни и със заповедите, които се публикуват незабавно във вътрешната компютърна мрежа на съда, до която имат достъп всички служители и магистрати, както и препис от тях е връчен съответно на ръководителите на звено „Съдебни секретари“ и „Съдебни деловодители“ с цел свеждането им до знанието на служителите. В чл. 11 от Вътрешните правилата за защита на личните данни е установена процедура по докладване и управление на нарушение сигурността на лични данни, които се обработват от съда, вкл. при изпълнение на правораздавателната му дейност. В СРС не е утвърждаван писмен план за действие в случай на публикуване на съдебни актове без заличени лични данни.

Практиката на администратора е, ако служител при извършване на проверка на публикувания съдебен акт с анонимизирани лични данни, установи, че са останали неанонимизирани лични данни, да подава незабавен сигнал до отдел „Информационно обслужване“ в СРС или до прекия си ръководител за незабавно „сваляне“ на публикувания акт, т.е. прекратяване на публичния достъп и връщане на акта за пълно анонимизиране на данните. В СРС обезличаването на съдебните актове преди публикуването им се извършва от служителите на длъжност „съдебен секретар“, чиито задължения във връзка с това са определени още при назначаването им, в длъжностната характеристика.

Считано от 18.01.2016 г. в АСУД, използвана в СРС, функционира модул „Обработка и публикуване на съдебни актове“, който позволява публикуване на съдебните актове на интернет – страницата на съда. В тази връзка и, за да се осигури спазването на чл. 64 ЗСВ, със Заповед № АС- 157/26.10.2015 г. председателят на СРС е възложил на съдебните секретари да извършват заличаване на личните данни в обявените съдебни актове по правораздаване в модула в АСУД и да ги публикуват в интернет, като подробно са описани последователността от действия, които трябва да се изпълняват и изискванията при обезличаване на данни в съдържанието на подлежащите на обявяване актове. Практиката на секретарите в гражданско отделение, възприета заради не малкия обем съдебни актове, е да извършват постоянно проверка за обявените съдебни актове в АСУД и ЕИСС и при наличие на такива да извършват в рамките на работния ден действията по заличаване на личните данни в тях и публикуването им на интернет – страницата на съда.

Представените на ИВСС заповеди на административния ръководител, действали през проверявания период: Заповед № АС-252/02.07.2019 г., Заповед № АС-304/08.08.2019 г., Заповед № АС-479/20.11.2019 г., Заповед № АС-224/29.06.2020 г. /приложени по делото – л. 33 и сл./, касаят публикуването на всички съдебни актове /с посочените в заповедите изключения/ по правораздаването, постановявани в закрито заседание по исковите и заповедните производства, по делата с предмет: искове за развод и недействителност на брака, отношения между родители и деца, изменения на мерки относно упражняване на родителски права, искове за издръжка и за нейното изменение, производства по чл. 28 33Дт и по чл. 16в ЗСП, по чл. 30 33Дт и по 33ДН, както и на протоколите от съдебни заседания по исковите производства, след съответното заличаване на лични данни, при съобразяване с чл. 64, ал. 4 ЗСВ. Целта на издадените заповеди е да се осигури възможност на страните по водените производства в СРС да се запознават чрез сайта на съда с постановените съдебни актове и протоколи, което да оптимизира дейността по деловодното им обслужване и предвид епидемичната обстановка от Covid-19 през 2020 г, и след това да се намали необходимостта от посещения в сградата на съда.

В изпратеното до ИВСС уведомление по чл. 33, § 1 от Регламент (ЕС) 2016/679 е посочено, че на 25.08.2023 г. Софийски районен съд уведомяма, че е настъпило нарушение на сигурността на личните данни, обработвани от него в рамките на правораздавателната му дейност по гр.д. № 13103/2023 г., 83 състав. Предвид обстоятелството, че не е изключено същото да породи риск за правата и свободите на засегнатия субект и в срока по чл. 33, § 1 от Регламент (ЕС) 2016/679, на 29.08.2023 г., без ненужно забавяне и не по- късно от 72 часа след узнаването администраторът е уведомил надзорния орган ИВСС за допуснатото нарушение на сигурността на личните данни. Нарушението се изразява в публикуване на интернет страницата на СРС и в ЕПЕП на непропорционална, прекомерна информация относно трите имена, номер на личната карта и възрастта на едно физическо лице - свидетел по гр.д. № 13103/2023 г., 83 – ти състав, която се съдържа в съдебен протокол от проведено на 18.07.2023 г. откритото заседание, който документ трябва да бъде предоставен за запознаване на страните в тридневния срок от заседанието.

При публикуване на протокола са разкрити данни за физическата идентичност на лицето. В решението се сочи, че публикуването на лични данни в горния обем представлява нарушение на установения в чл. 5, § 1, 6. „в” от Регламент (ЕС) 2016/679 принцип за свеждане на данните до минимум, съгласно който обработваните лични данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват. В случая публикуването на личните данни на свидетеля в такъв обем не е необходимо за целта, за която се прави то, тъй като тази цел - страните по воденото гражданско дело да се запознаят със съставения протокол от заседанието чрез сайта на съда, което да ги улесни при упражняване на правата им, се постига и чрез замяна на имената на физическото лице с инициали, заличаване на номера на личната му карта и възрастта, като данните са в обем за участието му като свидетел на ответника по делото. Нарушението е извършено на 19.07.2023 г. Изпратен е сигнал от трето лице за публикуването. Сигналът е получен на 25.08.2023 г., незабавно са предприети действия за заличаване на информацията, като администраторът е изтрил от публичното пространство публикувания с незаличените лични данни съдебен протокол и той не е наличен на сайта и в ЕПЕП, включително. Информацията не се показва чрез използване на онлайн търсачки, също и в сайта Dela.bg. Обезличеният съдебен протокол № 18467 от 19.07.2023 г. не е наличен и в ЕИСС, в системата се визуализира единствено необезличеният от лични данни на участниците по делото, подписан с КЕП протокол. От представеното разпореждане от 25.08.2023 г. се установява, че на същата дата съдебният администратор на СРС възлага на началника на „Информационно обслужване“ на СРС да определи съдебен служител на длъжност „системен администратор“, който незабавно да изтрие от публичното пространство публикувания с незаличени лични данни протокол. Като съществен пропуск се отчита обстоятелството, че в журналните записи на ЕИСС липсват записи на отделните събития или действия по изтриване на необезличения протокол, от които да става ясно кое лице и кога е изтрило документа в системата. Практиката до момента на проверката е, ако служител установи технически грешки и несъответствия в подписани или публикувани в ЕИСС документи, да подаде до съдебния администратор „Искане за извършване на корекции в модул „Обявяване на съдебни актове и протоколи“, по образец, представляващо приложение към Заповед № АС- 147/25.06.2016 г. За да се обезпечи спазването в пълна степен на принципа на отчетност, на ответникът приема, че на СРС следва да бъде указано да води регистър на операциите по изтриванията в системата, който да осигурява проследимост, контрол и управление на действията на служителите със съответните права, както и да се прецизира и допълни образеца на искането за корекции с нужната информация. Сочи се, че от нарушението е засегнат само един субект на данни, като е станало възможно разкриването на личните му данни пред неограничен кръг лица. Засегнатото физическо лице не е публична личност. Имената му не са изключителни или уникални, позволяващи лесна идентификация на конкретното физическо лице. Не се установява за субекта на данни да са настъпили вреди извън обичайните неимуществени вреди от нарушаване на правото на защита на личните данни, нормално е лицето да изпитва неудобство, несигурност и притеснение от всевъзможни бъдещи евентуални злоупотреби с личните му данни. Фактът, че тези данни са изтекли в публичното пространство, не означава автоматично, че с тях е извършена злоупотреба, доколкото злоупотребата предполага извършването на допълнителни действия. Непосредствено след установяване на нарушението, от страна на СРС са предприети незабавни коригиращи действия наличните вътрешноорганизационни мерки за защита с цел ограничаване на пропуски при анонимизирането на съдебните актове, включващи:

Извършена е вътрешна проверка от съдебния администратор на СРС за установяване на лицето, допуснало нарушението на сигурността на личните данни.

Отменена е заповедта за публикуване на сайта на съда на всички протоколи от съдебни заседания по искови производства, с оглед наличието на възможност за запознаване чрез ЕПЕП. Издадена е нова нарочна заповед на административния ръководител на СРС, указваща изрично на съдебните служителите да публикуват съдебните актове след внимателна проверка за пълното им обезличаване от личните данни на физическите лица. Проведени са нарочни за целта събрания на съдебните секретари в Наказателно отделение и в Гражданско отделение на съда.

Констатациите от проверката от адм. орган на журналните записи в ЕИСС на гр.д. № 13103/2023 г. и на други избрани на случаен принцип граждански дела (гр.д. № 44325/2020 г, гр.д. № 26656 /2021 г., гр.д. № 1476/2021 г., гр.д. № 12862/2023 г.) за събития и операции, свързани с „Редакция“ и „Обезличаване“ на съдебни актове и протоколи, го навеждат на извода, че причината, довела до конкретното нарушение на сигурността на личните данни, е изцяло от субективен характер и се дължи на пропуска на съдебния деловодител на 83 – ти състав, който не е направил опит за заличаване на личните данни в протокол № 18467, а вместо това незабавно (1 секунда е времето за операцията редакция-обезличаване) е публикувал документа. Приема се, че доводът на администратора СРС, че главна причина за наличието на личните данни на свидетеля в протокола са идентифицирани несъвършенства на функционалността за обезличаване на съдебните актове на ЕИСС, не се възприема. Установява се, че действия за обезличаване и публикуване на съдебни актове и протоколи по гр.д. № 13103/2023 г. са извършвани както от съдебния секретар на 83 състав - И. К., така и от деловодителя на състава Р. С., включително и в дни, когато съдебният секретар е била а работа, и на 19.07.2023 г., в деня на нарушението. Практиката, съдебните секретари да се заместват в тази дейност и вместо тях действия по заличаване на лични данни и публикуване на документи в интернет да извършват и деловодителите, се констатира и по други дела. Съдебните служители са ръководени единствено от стремежа им да работят в екип и да се подпомагат взаимно при обработването на големия обем от документация в СРС.

В заключение, адм. орган приема, че Софийски районен съд, като администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 и при обработване на личните данни по гр.д. № 13103/2023 г., е допуснал нарушение на принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е" от Общия регламент, като не е гарантирал подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване, като не е приложил подходящи технически и организационни мерки /"цялостност и поверителност"/, в резултат на което е осъществено неразрешено разкриване на трите имена, възрастта и номер на документа за самоличност на едно физическо лице пред неограничен кръг лица.

Предвид на изложените съображения и на основание чл. 84, ал. 1 и 2 ЗЗЛД във връзка с чл. 58, § 2, 6. „6“ и б. „г“ от Регламент (ЕС) 2016/679, Инспекторатът към ВСС налага на администратора на лични данни СРС принудителни административни мерки с процесното Решение № ЛДС-23-3/20.06..02.2024 г. на Инспектората при Висш съдебен съвет.

АССГ, в настоящият съдебен състав приема, че жалбата е допустима. Подадена е срещу подлежащ на оспорване пред съд административен акт, който неблагоприятно засяга правната сфера на оспорващия, с оглед което за него е налице правен интерес от обжалването.

Разгледана по същество, жалбата е НЕОСНОВАТЕЛНА.

Съдът следва да прецени законосъобразността на оспореното решение на всички основания, посочени в чл. 168, ал. 1 във връзка чл. 146 от АПК, а именно: дали е издадено от компетентен административен орган и в установената форма, спазени ли са административно-производствените правила и материалноправните разпоредби по издаването му, съобразено ли е то с целта на закона. По отношение на пункт 1 от оспорения акт, с който се обявява жалбата на Л. М. за процесуално недопустима, настоящата съдебна инстанция не дължи произнасяне поради липсата на подадена срещу тази част на акта жалба /чл. 145, ал. 3 АПК/.

Съдът намира, че липсва предпоставката за отмяна на атакувания ИАА по смисъла на чл. 168, ал. 1, във връзка с чл. 146, т. 3 от АПК, като не е налице незаконосъобразност на решението по смисъла на чл. 168, ал. 1, във връзка с чл. 146, т. 4 от АПК - противоречие с материалноправните разпоредби на закона.

Съгласно чл. 54, ал. 2 от Закона за съдебната власт, при осъществяване на надзора по ал. 1, т. 15 Инспекторатът изпълнява задачите и упражнява правомощията по Закона за защита на личните данни. Същият е компетентен адм. орган да установи съответните нарушения по ЗЗЛД, респ. по Регламент (ЕС) 2016/679 и да наложи процесната ПАМ.

Съгласно чл. 17, ал. 1, Т. 1 от ЗЗЛД Инспекторатът към Висшия съдебен съвет осъществява надзор и осигурява спазването на Регламент (ЕС) 2016/679, на този закон и на нормативните актове в областта на защитата на личните данни при обработване на лични данни от съда при изпълнение на функциите му на орган на съдебната власт.

Не се оспорва в хода на производството, че при осъществяване на дейността по публикуване на правни актове, от служител на СРС е осъществено, при автоматично залагане на данни от съдебен протокол № 18467 от 19.07.2023 г. в системата ЕПЕП, като е допуснато неразрешено разкриване на трите имена, възрастта и номер на документа за самоличност на едно физическо лице пред неограничен кръг лица.

Оспорва се от жалбоподателя, че същият при изложената обстановка е извършил нарушение като администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 при обработване на личните данни по гр.д. № 13103/2023 г., като е допуснал нарушение на принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е" от Общия регламент, не е гарантирал подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване, като не е приложил подходящи технически и организационни мерки /"цялостност и поверителност"/, в резултат на което е осъществено неразрешено разкриване на трите имена, възрастта и номер на документа за самоличност на едно физическо лице пред неограничен кръг лица.

На първо място се оспорва качеството „администратор на лични данни“ по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679, по отношение на СРС. Настоящият състав на съда споделя изцяло съображенията на ад м. орган, че СРС безспорно притежава това качество. Същият като самостоятелно юридическо лице на бюджетна издръжка е държавен орган, част от Съдебната система на Р. [държава] и извърша по дефиниция от горепосочената разпоредба адм. дейност като администратор на лични данни.

Съгласно чл. 4, т. 7 от Регламент (ЕС) 2016/679: „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка., а съгласно т. 8: „обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.

В настоящия случай, не се доказва от доказателствата по делото СРС да е действал от името на друго юрид. лице – администратор – ВСС, като „администратор на сървъра“ и поддържащ информ. система ЕПЕП. Това се опровергава от всички гореизброени действия на ръководството на СРС при осъществяване на дейността по ЗЗЛД, издадените множествовътрешно-ведомствени актове – заповеди и правила, по които са действали в годините служителите при осъществяване на правомощията на органа по този закон. Въпреки действително установеното по преписката, както от ИВСС, така и от СРС, че системата на ЕПЕП е несъвършенна, като при автоматично качване на протокола в нея е напълно възможно допускане разкриването на лични данни, администраторът на лични данни е допуснал това да се случи по посоченото гр.д. Така например в длъжностната характеристика на комп. оператор /л. 35/, в т. 1.2 се урежда задължение да се извършват корекции на първоначално въведени данни и да се информира прекия ръководител. Не се спори по делото, че съответният служител, качващ протокола има възможност за ръчна корекция на данните и заличаване на личните такива при установяването им. Тази възможност на системата е добре известна на администратора на данни и следва същата да се прилага стриктно от съответните служители. При положение, че е налице същата, няма никакво съмнение, че СРС действа не от името на друг администратор на лични данни, а от свое име като обработва самостоятелно личните данни по делата. След допуснатото нарушение са предприети действия от председателя на СРС в тази посока, като са издадени нови заповеди. Въпреки това, правилно адм. орган е приел в акта, че следва да се въведат нови мерки в посока недопускане в бъдеще на нарушения от вида на процесното. От жалбоподателя, на следващо място се оспорва, че мерките за осигуряване защита на личните данни са били достатъчни. Установява се липса на конкретни правила, относно начина на процедиране на служителите и то по конкретните дела при обработка на данните. Това се установява от адм. орган, който сочи и достъпването до данните на много на брой служители без да става ясно каква е тяхната връзка с конкретното дело и без да се установява целта на този достъп. За да обезпечи приложението на разпоредбите на чл. 64 ЗСВ и да се гарантира, че публикацията на съдебните актове е съобразена с ограниченията по ЗЗЛД и ЗЗКИ, ИВСС приема, че следва да се укаже на администратора СРС да разработи вътрешни правила, уреждащи компетенциите и реда, по който отделните съдебни секретари, съдебни деловодители, системни администратори или съдиите, ще участват в процеса на публикуване, като се разпределят и техните отговорности. Сочи се в акта, че от представените журнални записи се установява, че съдебен протокол № 18467, след публикуването му е бил разгледан в незаличен вид многократно в периода от 25.08.2023 г. в 13: 45: 23 часа до 31.08.2023 г. в 10: 42: 57 часа от общо 9 служители на СРС, включително такива, чийто служебни задължения не налагат достъп до личните данни на участниците по делото. Проверяващият екип е бил информиран, че разглеждането на информация по делата е ограничено само административно, т.е., разчита се на дисциплината на служителите, които са потребители в ЕИСС. В тази връзка ИВСС приема, че следва да се укаже на администратора регулярно извършване на проверки на случаен принцип за това дали неоправомощени служители използват възможностите на системата, за да достъпват дела в нарушение на принципа „необходимост да се знае“. Установява се, че при проведеното демонстративно обезличаване на лични данни в произволно избрани, обявени съдебни решения ЕИСС не е заличила автоматично не малко данни в решенията и това изисква извършване на обстойна проверка на цялото съдържание на акта за останали незаличени лични данни и ръчното анонимизиране на всяко решение. Липсата на достатъчна автоматизираност на този процес налага човешката намеса при обезличаването на всеки акт и протокол, което за съдебните служители в СРС е много трудоемко и отнема време с оглед огромния брой на делата и множеството актове по всяко от тях. В допълнение към предприетите вътрешноорганизационни мерки, администраторът е сезирал в кратък срок след установяване на нарушението Комисия „Професионална квалификация и информационни технологии“ към Пленума на ВСС за констатирани проблеми в ЕИСС при обезличаване на личните данни преди публикуване на съдебни актове, респ. за недостатъчни функционални възможности на модула за автоматично обезличаване на лични данни, което налага съдебните служители да извършват ръчно обработване на съдебните актове. Към момента на проверката, с решение по протокол № 20 от 23.11.2023 г., т. 2 на Комисия „ПКИТ“, е възложено на отдел ЕИСС към ВСС да обобщи информацията за възникналите проблеми при обезличаване на личните данни от съдилищата с посочване на параметри и примери, както и да изготви конкретни предложения за евентуално надграждане на функционалността.

С процесното решение се налагат следните мерки:

1. Отправя се официално предупреждение до администратора СРС по чл. 58, § 2, б. „б“ от Регламент (ЕС) 2016/679 за допуснатото нарушение на чл. 5 § 1 б. "а" и б. "е" и чл. 32, § 1 от Регламент (ЕС) 2016/679;

2. Разпорежда се на Софийски районен съд, на основание чл. 58, § 2, б. „г“ от Регламент (ЕС) 2016/679, да съобрази операциите по обработването на лични данни, както следва:

Съдът намира, че така формулирани мерките безспорно биха съдействали за преодоляване на дефицита на защита на лични данни, допуснат от администратора на лични данни при обработването им. Действително, детайлното формулиране на правила по посочения начин би допринесло за постигане на целта на закона и осигуряване на ефективна защита на личните данни на лицата при осъществяване на обработката и по-конкретно при качване на информацията в ЕПЕП и ЕИСС. Недопускането на допълнително достъпване на данни от различни лица, посредством мярката по т.2.3 безспорно би допринесло за осигуряване неприкосновенността на личните данни. Оспореният акт е съответен на целта на закона - съгласно чл. 1, ал. 2 във връзка с чл. 2, ал. 2 от ЗЗЛД, да гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите и юрид. лица при неправомерно обработване на свързаните с тях лични данни.

Въз основа на изложените по-горе мотиви, съдът приема, че постановеното решение е издадено от компетентен административен орган, в установената от закона форма, без да са налице съществени нарушения на административно-производствените правила, в съответствие с материалноправните разпоредби и целта на закона, като подадената срещу същия жалба е неоснователна.

С оглед изхода от спора, на основание чл. 143, , ал. 4 АПК, чл. 78, ал. 8 ГПК вр. чл. 144 АПК, вр. 37 ЗПП и чл. 24 от Наредбата за заплащане на правната помощ в полза на ответника следва да бъде присъдено юрисконсултско възнаграждение в размер на сумата от 100 /сто/ лева.

Мотивиран от горното и на основание чл. 172, ал. 2, чл. 143, ал. 4 от АПК, Административен съд – [област] – град, Второ отделение, 33-ти състав,