Производството е по реда на чл. 208 и сл. от Администартивнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на Комисия за защита на личните данни (КЗЛД), чрез процесуален представител, срещу решение № 4794/06.07.2016 г. постановено по адм. дело № 9473/2015 г. на Административен съд София-град (АССГ) в частта, с която е отменено нейно решение № Ж-1062/14 от 02.09.2015 г. в частта му по т. 2 относно нарушение на чл. 4, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ) (ЗЗЛД), с която на [фирма] ([фирма]) е наложена имуществена санкция в размер на 12 000 лв.

Касационният жалбоподател обжалва посочените части на съдебното решение като твърди, че е неправилно и необосновано, постановено в нарушение на материалния закон и допуснати съществени нарушения на съдопроизводствените правила - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Твърди се, че не е налице нито едно от условията за допустимо обработване от [фирма] на личните данни на Я. Г. М., предоставени от нея на [фирма]. Касационният жалбоподател иска да бъде отменена обжалваната част от съдебното решение. Подробни съображения в подкрепа на твърденията и искането са изложени в касационната жалба. Не претендира разноски.

Ответникът – [фирма] изразява становище за неоснователност на касационната жалба по подробни съображения в писмен отговор и в пледоария по същество на спора в открито съдебно заседание. Не претендира разноски.

Ответникът – Я. Г. М. – редовно призована, не изразява становище.

Прокурорът от Върховна административна прокуратура заявява становище за основателност на касационната жалба.

Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество е основателна.

С решение № 4794/06.07.2016 г., постановено по адм. дело № 9473/2015 г. по описа на АССГ е отменено Решение № Ж-1062/14 от 02.09.2015 г. на КЗЛД, в частта му по т. 2 относно нарушение на чл. 4, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ) (ЗЗЛД), с която на [фирма] е наложена имуществена санкция в размер на 12 000 лева и е отхвърлено оспорването по жалба на [фирма] срещу същото решение в частта му по т. 3 относно нарушение на чл. 20, ал. 1 от ЗЗЛД, с която на дружеството е наложена имуществена санкция в размер на 3 000 лева.

От фактическа страна съдът е приел, че след направена и неизплатена онлайн покупка от страна на М. личните ѝ данни са предоставени от търговеца [фирма] на „трето“ по смисъла на § 1, т. 11 от допълнителните разпоредби на ЗЗЛД лице, а именно дружество за събиране на вземания - [фирма], което представлява разкриване и обработване на личните данни. При покупката М. се е съгласила с Общите условия на търговеца [фирма], което според чл. 3, ал. 1 от Общите условия договорът поражда действие между страните от момента на постигане на съгласие, обективирано по начина, посочен в чл. 2, ал. 1, т. е. чрез отбелязване в полето „Съгласен с Общите условия“ и натискане на виртуалния бутон „Потвърди“. В чл. 22 и 23 от същите изрично е отбелязано, че при регистрацията си потребителят предоставя доброволно личните си данни и дава съгласие да бъдат обработвани от страна на търговеца.

За да отмени административния акт в частта в частта му по т. 2 относно нарушението на чл. 4, ал. 1 от ЗЗЛД, с която на [фирма] е наложена имуществена санкция в размер на 12 000 лв., съдът е приел от правна страна, че с прехвърляне на вземането цесионерът встъпва в правата на предишния кредитор без за това да е необходимо съгласието на длъжника и същият има право да обработва личните данни на длъжника по сключения договор между него и [фирма], по който е дадено съгласие за обработка на лични данни. В последствие длъжникът трябва да бъде уведомен за извършената цесия - за да породи същата действие по отношение на него и по отношение на трети лица – чл. 99 от ЗЗД (ЗАКОН ЗА ЗАДЪЛЖЕНИЯТА И ДОГОВОРИТЕ) (ЗЗД). Юридическият факт, който прави допустимо обработването на личните данни, е прехвърлянето на вземането, а не съобщаването на длъжника. АССГ не е установил съобщаване на извършената цесия на длъжника.

Съдебният акт е неправилен в обжалваната му част.

При правилно установени факти по делото съдът е обосновал неправилни правни изводи в противоречие с материалния закон.

Съгласно чл. 4 от ЗЗЛД обработването на лични данни е допустимо само в случаите, когато е налице поне едно от следните условия: 1. обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни; 2. физическото лице, за което се отнасят данните, е дало изрично своето съгласие; 3. обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане; 4. обработването е необходимо, за да се защитят животът и здравето на физическото лице, за което се отнасят данните; 5. обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес; 6. обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните; 7. обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните. Обработването на лични данни е допустимо и в случаите, когато то се извършва единствено за целите на журналистическата дейност, литературното или художественото изразяване, доколкото това обработване не нарушава правото на личен живот на лицето, за което се отнасят данните. От установената правилно от АССГ фактическа обстановка не е налице нито едно от условията, което правят допустимо обработването на личните данни на Я. М. от [фирма].

Я. М. е дала съгласие за обработването на личните й данни от [фирма] като се е съгласила с Общите условия на сайта на търговеца [фирма]. В чл. 24, ал. 1 от условията е предвидено, че събирането и използването на личните данни се използва целите, предвидени с общите условия (търговия) както и за предлагане на нови стоки и услуги. Целите не са изчерпателно изброени, но ще бъдат съобразени с българското законодателство…. В ал. 3 е посочено, че потребителят има право да бъде уведомен преди личните му данни да бъдат разкрити за пръв път на трети лица. От тези относими към спора клаузи на Общите условия на договора, който е сключила Я. М. с [фирма] не се установява даване на нейно изрично съгласие личните й данни да се предоставят на трето лица, още по-малко на конкретно трето лице ([фирма]). Следователно не е налице хипотезата на чл. 4, ал. 1, т. 2 от ЗЗЛД.

Изводът на АССГ, че цесионерът [фирма] встъпва в правата на предишния кредитор [фирма], включително и по отношение обработването на личните му данни, без за това да е необходимо съгласието на длъжника Я. М., не се основава на договора, сключен между цедента [фирма] и длъжника Я. М.. В посочените вече Общи условия липсва клауза, която да бъде разглеждана като предварително съгласие от потребителя на услугите на търговеца за обработване на лични му данни от други администратори, различни от [фирма]. Прехвърлянето на вземането чрез цесия като облигационно отношение е непротивопоставимо на задълженията на администратора на лични данни да ги обработва само в предвидените от закона случаи. Съгласно чл. 99, ал. 4 от ЗЗД прехвърлянето на вземането има действие спрямо третите лица и спрямо длъжника от деня, когато то бъде съобщено на последния от предишния кредитор. Съобщаването е юридическият факт, имащ отношение към завършване на фактическия състав по прехвърляне на вземането и има значение относно изпълнението на задължението, поради което правилно е преценено от АССГ като неотносимо към валидността на договора, но абсолютно неправилно е тълкуването на първоинстанционния съд, че само наличието на валиден договор за цесия е достатъчно основание за обработване на личните данни на длъжника от цесионера.

Административният съд е приел, че извършените от [фирма] „действия по обработване на личните данни на М. … са извършени на основание чл. 4, ал. 1 от ЗЗЛД и са законосъобразни“ без да конкретизира кое от условията, изброени в тази разпоредба са налице, но преди този заключителен извод са изложени съображения, в които е цитиран чл. 4, ал. 1, т. 3 от ЗЗЛД, поради което и доколкото установените факти от АССГ не покриват хипотезата на нито едно от предвидените условия, настоящият съдебен състав намира, че следва изрично да обсъди и възможността да е осъществено именно това условие. Наличието на това условия се поддържа и от [фирма].

Съгласно чл. 4, ал. 1, т. 3 от 3ЗЛД обработването на лични данни е допустимо когато е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане. Я. М. не е страна по договор с [фирма], поради което не е възможно да се приеме, че за изпълнение на нейно задължение, породено от друг договор е допустимо обработване на нейните лични данни от лице, с което тя не е в договорни отношения. В този смисъл е без правно значение и доколко е възникнало вземане на [фирма] към Я. М. и неговото цедиране от [фирма] на [фирма], след като тя предварително не е дала съгласие за предоставяне на нейните лични данни на трето лице за целите на изпълнение на нейно задължение по този договор. Ц. [] е страна по договора за цесия с насрещна страна [фирма], а не Я. М.. Задължението да се уведоми длъжника, съгласно чл. 99, ал. 3 от ЗЗД е в тежест на цедента [фирма], а не върху цесионера [фирма], който преди това не разполага със законно основание да обработва личните данни на лице, с което не е в договорни отношения. В случая договорът за цесия е валиден, но поради несъобщаването по чл. 99, ал. 3 от ЗЗЛД не е породил действие спрямо длъжника, поради което и цесионерът не е възможно да се позовава на него като елемент от хипотезата на чл. 4, ал. 1, т. 3 от ЗЗЛД.

Неоснователни са доводите на [фирма] и за наличието на условието по чл. 4, ал. 1, т. 7 от ЗЗЛД, според което обработването на лични данни е допустимо, когато е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните. Реализирането на парични вземания т. е. имуществени права не е равнозначно на реализиране на законни интереси по смисъла на цитираната разпоредба, за да е противопоставимо на правото на защита на личните данни на физическите лица като част от тяхната неприкосновеност. Тази разпоредба отразява принципа, че е допустимо и законосъобразно накърняването на интересите на едно физическо лице за сметка на други по-висши интересите, но само след оценка баланса на тези интереси, които за да са съпоставими е необходимо да са от един порядък. Имуществените права (интереси) в случая на цесионера не са съпоставими с основното право на личен живот по смисъла на чл. 8, § 1 от Конвенцията за защита правата на човека и основните свободи (ЕКПЧ), елемент от което неприкосновеността на личността и личните данни. По тази причина и в тази хипотеза, имуществените интереси на частноправен субект не е възможно да бъдат разглеждани като предвидено в закон (т. е. представляващо намеса на държавата по според чл. 8, § 2 от ЕКПЧ) основание за допустимо обработване на лични данни на физически лица без тяхно съгласие.

За пълнота на изложението следва да бъде посочено, че хипотезите на нито едно от останалите условия по чл. 4, ал. 1 от ЗЗЛД не са дори хипотетично възможни и не се твърдят за осъществени от [фирма]. Като е достигнал до противоположен правен извод АССГ е постановил незаконосъобразно съдебно решение, което следва да бъде отменено на основание чл. 221, ал. 2 от АПК. Спорът е изяснен от фактическа страна пред първата инстанция и при разглеждането му не са допуснати процесуални нарушения. АССГ е приел за установено, че оспореното пред него решение на КЗЛД е действителен акт в рамките на правомощията и предвидената форма, без допуснати процесуални нарушения и не са налице предпоставките на чл. 146, т. 1, т. 2 и т. 3 от АПК за неговата отмяна. С оглед вече изложените мотиви в настоящото съдебно решение относно смисъла на закона се налага извод, че правните изводи на КЗЛД са в съответствие с материалния закон и целта на закона, поради което не са налице и предпоставките на чл. 146, т. 4 и т. 5 от АПК.Стелно след отмяна на обжалваното съдебно решение вместо него трябва да бъде отхвърлена жалбата на [фирма] против решение № Ж-1062/14 от 02.09.2015 г. в частта му по т. 2 относно нарушение на чл. 4, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ), с която на [фирма] е наложена имуществена санкция в размер на 12 000 лв., която според настоящата инстанция е определена в законосъобразен размер.

Страните не претендират разноски, поради което такива не следва да бъдат определяни.

По изложените съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, пето отделение РЕШИ:

ОТМЕНЯ решение № 4794/06.07.2016 г. постановено по адм. дело № 9473/2015 г. на Административен съд София-град В ЧАСТТА, с която е отменено решение № Ж-1062/14 от 02.09.2015 г. на Комисия за защита на личните данни в частта му по т. 2 относно нарушение на чл. 4, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ), с която на [фирма] е наложена имуществена санкция в размер на 12 000 (дванадесет хиляди) лева и вместо това постановява:

ОТХВЪРЛЯ оспорването по жалба на [фирма] срещу решение № Ж-1062/14 от 02.09.2015 г. на Комисия за защита на личните данни в частта му по т. 2 относно нарушение на чл. 4, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ), с която на [фирма] е наложена имуществена санкция в размер на 12 000 (дванадесет хиляди) лева. РЕШЕНИЕТО не подлежи на обжалване.