Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на Комисия за защита на личните данни, чрез процесуалния представител К.П, служител с юридическо образование, срещу решение № 1748 от 11.03.2020 г. по адм. дело № 60 по описа за 2020 г. на Административен съд - София град (АССГ) в частта му, с която е отменено нейно решение № ППН-01-458/2018 от 04.10.2019 г. по повод наложени имуществени санкции и преписката е върната за ново произнасяне.

Образувано е и по касационна жалба на "Т. Б" ЕАД, чрез процесуалния представител П. Г., служител с юридическо образование, срещу решение № 1748 от 11.03.2020 г. по адм. дело № 60 по описа за 2020 г. на Административен съд - София град в частта, с която е отхвърлена жалбата срещу решение № ППН-01-458/2018 от 04.10.2019 г. на Комисия за защита на личните данни (КЗЛД), така и в тази част от това съдебно решение, с което решението на КЗЛД е отменено по повод наложени имуществени санкции и преписката е върната за ново произнасяне.

В първата касационна жалба са изложени съображения за неправилност на обжалваното решение в посочената част, като постановено в нарушение на материалния и процесуалния закони, което съставлява отменително касационно основание по чл. 209, т. 3 от АПК. Иска се да бъде отменено решението в посочената част и се постанови друго с отхвърляне жалбите срещу решението на КЗЛД и в посочената част по повод наложени имуществени санкции. Не се претендира присъждане на съдебни разноски.

Във втората касационна жалба са изложени съображения за неправилност на обжалваното решение, като постановено в нарушение на материалния и процесуалния закони, което съставлява отменително касационно основание по чл. 209, т. 3 от АПК. Иска се отмяна на съдебното решение по повод оспорването на решение № ППН-01-458/2018 от 04.10.2019 г. на КЗЛД както в частта, в която съдът е приел, че този акт е материалнозаконосъобразен и го е оставил в сила, така и в частта на съдебното решение, в която това решение на КЗЛД е отменено по повод наложени имуществени санкции. В условия на алтернативност иска да се отмени изцяло съдебното решение и делото се върне за ново разглеждане от друг съдебен състав на АССГ. В съдебно заседание от 11.11.2020 г. процесуалният представител заявява, че оспорва касационната жалба на КЗЛД. Не претендира присъждане на съдебни разноски.

Ответната страна по касационните жалби - "Т. Т" ООД оспорва касационните жалби чрез депозирано становище по реда на чл. 213а от АПК на адв.Д.С.П се и писмена защита. Претендира присъждане на съдебни разноски и представя списък по чл. 80 от ГПК, във връзка с чл. 144 от АПК, както и договор за правна защита и съдействие, и банково извлечение.

Ответната страна по касационните жалби - "Т. Т. С Загора" ООД оспорва касационните жалби чрез депозирано становище по реда на чл. 213а от АПК на адв.Д.С.П се и писмена защита. Претендира присъждане на съдебни разноски и представя списък по чл. 80 от ГПК, във връзка с чл. 144 от АПК, както и договор за правна защита и съдействие, и банково извлечение.

Ответната страна по касационните жалби - Р.С не изразява становище по тях.

Ответната страна по касационните жалби "Руския А75" ЕООД не ангажира становище по тя.

Представителят на Върховна административна прокуратура дава заключение за неоснователност на касационната жалба на Комисията за защита на личните данни срещу съдебното решение, в частта му, с която е отменено нейно решение № ППН-01-458/2018 от 04.10.2019 г. по повод наложени имуществени санкции. По повод касационната жалба на "Т. Б" ЕАД срещу решението, с което е отменен административния акт относно наложената имуществена санкция и делото е върнато като преписка за ново произнасяне, счита, че тя е недопустима, поради липса на правен интерес и невъзможност да бъде обжалван диспозитив "връща за ново произнасяне". По повод касационната жалба на този втори касационен жалбоподател срещу другата част от съдебното решение, при което административният акт е оставен в сила като материално незаконосъобразен, посочва, че тя е неоснователна.

Върховният административен съд, пето отделение, след като прецени допустимостта на касационната жалба и наведеното отменително основание, и с оглед на чл. 218 от АПК, приема за установено следното от фактическа и правна страна:

Касационната жалба на Комисията за защита на личните данни е процесуално допустима като подадена в срок и от надлежна страна, а разгледана по същество е основателна.

Касационната жалба на "Т. Б" ЕАД е процесуално допустима като подадена в срок и от надлежна страна, а разгледана по същество е неоснователна по повод оспорване на решението в частта, с която е прието, че административният акт е материалнозаконосъобразен. В частта на жалбата, с която се иска отмяна на съдебното решение в частта, с която е отмено решението на КЗЛД по повод наложени имуществени санкции е процесуално недопустима, поради липса на правен интерес.

Предмет на съдебен контрол в производството пред административния съд - София град е било решение № ППН-01-458/2018 от 04.10.2019 г. на Комисията за защита на личните данни. Производството пред нея е започнало по жалба на Р.С с рег. № ППН-01-458 от 15.06.2018 г. с твърдения за злоупотреба с личните й данни. Конкретно е посочила, че на 10.05.2018 г. е била извикана в 01 РУ на МВР отм. а Загора, където е научила, че на нейно име са регистрирани десет предплатени сим карти за ползване на мобилни телефонни услуги, предлагани от "Т. Б" ЕАД. Посочва, че е закупила и ползва само две предплатени карти от този мобилен оператор, с конкретно цитирани номера, като е твърдяла, че е злоупотребено с личните й данни по повод регистрирането на останалите осем карти, с конкретно посочени номера. Информирала е мобилният оператор, като е подала жалба на 18.08.2018 г. и със съдействието на полицията са спрени изходящите обаждания от девет от картите.

Страни в административното производство пред КЗЛД са били жалбоподателката Р.С, мобилният оператор "Т. Б" ЕАД; "Т. Т" ООД, на което дружество операторът е продал осем карти по силата на рамков договор за дистрибуция на предплатени услуги от 27.05.2015 г., (фактура 410033353/04.07.2017 г.); "Т. Т. С Загора" ООД, на което дружество по силата на договор за дистрибуция на стоки от 25.03.2012 г. са препродадени тези карти, както и "Руския А75" ЕООД, на което същите са препрепродадени и което дружество е осъществило продажбата на осемте предплатени карти. Административният орган е приел, че жалбата е процесуално допустима и основателна. На основание чл. 38, ал. 3 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ) (ЗЗЛД) и

- на основание чл. 83, § 5, б."а", във връзка с чл. 58, § 2 от Регламент (ЕС) 2016/679 налага на "Т. Б" ЕАД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 100 000.00 лв., за обработване на лични данни на лицето, в нарушение на чл. 2, ал. 2, т. 1 от ЗЗЛД отм. , респ. чл. 5, § 1, б."а" от Регламента;

- на основание чл. 83, § 5, б."а", във връзка с чл. 58, § 2 от Регламент (ЕС) 2016/679 налага на "Т. Т" ООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 50 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл. 4, ал. 1 от ЗЗЛД отм. , респ. чл. 6, § 1 от Регламента;

- на основание чл. 83, § 5, б."а", във връзка с чл. 58, § 2 от Регламент (ЕС) 2016/679 налага на "Т. Т. С Загора" ООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 50 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл. 4, ал. 1 от ЗЗЛД отм. , респ. чл. 6, § 1 от Регламента;

- на основание чл. 83, § 5, б."а", във връзка с чл. 58, § 2 от Регламент (ЕС) 2016/679 налага на "Руския А75" ЕООД, в качеството му на администратор на лични данни, административно наказание - имуществена санкция в размер на 35 000.00 лв. за обработване на лични данни на лицето, в нарушение на чл. 4, ал. 1 от ЗЗЛД отм. , респ. чл. 6, § 1 от Регламента.

В производството пред административния съд - София град като страни са участвали жалбоподателите "Т. Б" ЕАД, "Т. Т" ООД, "Т. Т. С Загора" ООД и "Руския А 75" ЕООД, а ответник е КЗЛД.

В мотивите на съдебното решение подробно е обсъдена фактическата обстановка по спора, като е прието за безспорно, че на името на Р.С са били регистрирани общо десет предплатени карти за ползване на предлагани от "Т. Б" ЕАД предплатени услуги, като за две от картите лицето е подало искане и съгласие за обработване на лични данни. Не е спорно и че в базата данни на този оператор се съхраняват личните данни на това лице (трите имена, единен граждански номер и дата на раждане) по смисъла на чл. 4, § 1 от Регламент 2016/679, понеже е абонат на същия. Не се оспорва, също, че тези данни са използвани и съхранявани в периода от 18.09.2017 г. (датата на регистрация на картите в системата ИПОС) до 05.10.2018 г. (датата на представяне на справка от електр. база данни), въпреки деактивирането на картите, осъществено през м. май 2018 г. В административното и в съдебното производства дружеството - оператор не е ангажирало доказателства за наличието на договорни отношения по повод регистрираните осем предплатени карти с лицето, както и такива относно дадено от него съгласие по смисъла на чл. 4, ал. 1, т. 3 от ЗЗЛД отм. , респ. на чл. 6, § 1, б."а." от Регламент 2016/679. Не се оспорва фактът, че тези данни са събрани от "Руския А 75" ЕООД и са регистрирани от него посредство колцентъра на "Т. Б" ЕАД. Не е бил спорен и фактът, че на "Руския А 75" ЕООД е предоставено устройство за регистриране и активиране на предплатените карти, както и че това дружество, след като е предоставяло карти на краен потребител, е следвало да попълва регистрационните карти със съответни задължителни реквизити относно абоната и да предава същите назад по веригата до оператора, предоставящ услугата и то не е осъществило това. Не са налице регистрационни карти, като въпреки направеното от лицето възражение търговското дружество - оператор е продължило да използва неговите лични данни и след подаване на жалба до него. Не се оспорват и фактите по повод сключените договори между изброените търговски дружества и тяхното съдържание.

Административният съд е приел, че административният акт е издаден от компетентен орган, както и че са спазени изискванията за форма и съдържание на акта, като не са допуснати съществени нарушения на административнопроизводствените правила. Отграничил е кои нарушения на тези правила са съществени, като такива не се констатират и подробно е обсъдил възражението на жалбоподателя "Руския А 75" ЕООД по повод твърдението му, че не е уведомен за започналото административно производство.

По повод обсъждането на доводите за материална незаконосъобразност на оспорения акт се е позовал на чл. 288, ал. 2 от ДФЕС, с оглед характера и приложимостта на регламентите и конкретно на Регламент (ЕС) 2016/679 на Европейския парламент и на съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на директива 95/46/ЕО, който влиза в сила в 12-дневен срок от обнародването му в официалния вестник на ЕС (обн., L,OB, бр. 119 от 04.05.2016 г.), като съгласно чл. 99, § 2 от него се прилага от 25.05.2018 г. Приел е с оглед на тези съображения за влизане в сила на посочения регламент и датата на прилагането му, че при издаване на обжалваното решение КЗЛД правилно и обосновано е осъществявала всичките си процесуални действия, вкл. прилагане на съответните правни разпоредби от него. Аргументира се и цитира съдебна практика на Съда на ЕС. Направил е извод, че в случаите когато процесното деяние представлява нарушение по национален закон и нарушение по регламент на ЕС, който е влязъл в сила към датата на извършване на деянието (18.09.2017 г.), но за който е определена дата да се прилага едва след датата на нарушението, националният орган следва да приложи националния материален закон във връзка с нарушението, но да тълкува националната разпоредба в съответствие с разпоредбата на Регламента, независимо, че същият се прилага едва след извършване на нарушението. Приема също, че когато едно деяние представлява нарушение по националния закон по време на извършването, но преди да се прилага европейския законодателен акт, който предвижда същото нарушение, да се наложи санкция по разпоредбите на последния (Регламента), когато към момента на нейното налагане, в същият е предвидено да се прилага и е влязъл в сила. Според съда деяние, което е продължило достатъчно дълго и което обхваща периода след определената дата за приложение на Регламента, може да бъде квалифицирано по него, както е в процесния случай. Това е и първият спорен момент по делото, който рефлектира върху преценката за основателността на първата касационна жалба, както и на втората касационна жалба, с оглед на обжалването с нея на съдебното решение във връзка с твърдяното от този касатор нарушаване на материалния закон.

Съгласно чл. 1, ал. 1 от ЗЗЛД (ЗАКОН ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ) (обн., ДВ, бр. 1 от 4.01.2002 г., в сила от 01.01.2002 г., ред. доп., ДВ, бр. 81/2011 г.) този закон урежда защитата на правата на физическите лица при обработването на личните им данни С влизане в сила на Регламент (ЕС) 2016/679, считано от 25.05.2018 г., именно неговите разпоредби стават основният източник на правна регламентация в сферата на защита правата на лицата при обработването на техните лични данни и достъпа до тези данни в рамките на Европейския съюз. В тази връзка следва да се съобрази, че Регламентът е акт с общо приложение, той е задължителен в своята цялост и се прилага пряко във всички държави членки, като за пораждане на правното му действие не е необходимо транспонирането му във вътрешното право посредством приемането на изричен акт или мярка. Следователно, от деня на влизането си в сила Регламентът е станал действащо право в Р. Б и неговите разпоредби са започнали да уреждат пряко и непосредствено съответните обществени отношения. С оглед на това, независимо дали към този момент националният законодател е предприел някакви промени, свързани с уредбата в Регламента, последният проявява своето правно действие от деня на влизането си в сила и от този момент следва задължително да бъде съобразяван от административните органи и от съда при разрешаването на съответните спорове (виж решение № 4238 от 13.04.2020 г. по адм. дело № 12170 по описа за 2019 г. на настоящия състав на пето отделение на ВАС). С оглед на изложеното, следва да се приеме, че регламентът, чиито разпоредби са приети за нарушени в обстоятелствената част и диспозитива на решението на КЗЛД, е действащо право в Р. Б, както и в останалите държави членки на ЕС, считано от 25.05.2018 г., съгласно чл. 99, § 2 от същия. Липсва изрично правилно за придаване на обратно действие на закрепените в него материалноправни норми. Поради това следва да се счита за несъмнено положението, че Регламентът намира приложение спрямо онези юридически факти, визирани в неговите норми, които са настъпили след влизането му в сила или продължават своето проявление в действителността и след влизането му в сила. Такъв именно е и настоящият случай, в който се установява, че макар и да е извършено обработване на лични данни без съгласието на лицето на 18.09.2017 г. и това е продължило и след деактивиране на предплатените сим карти през м. май 2018 г., личните данни на лицето продължават да се обработват от администратора в хипотезата на съхранение и употреба от мобилния оператор до 05.10.2018 г., т. е. неправомерното обработване на данните на Р.С е било продължаващо към момента на влизане в сила на Регламента.

Основен принцип в правото е, че за да се приеме едно деяние за нарушение, то следва да е обявено за такова с действаща към момента на извършването му правна норма, която да е приета за нарушена. В конкретния случай, изпълнителното деяние, довело до неправомерно обработване на личните данни на Р.С, е започнало 18.09.2017 г. (когато по отношение на защитата на правата на физическите лица при обработване на личните им данни действаща е единствено уредбата на ЗЗЛД (ред., ДВ, бр. 81 от 14.10.2016 г.) и е продължило и след датата 25.05.2018 г., датата от която Регламента се прилага, съгласно чл. 99, § 2 от него. Поради това следва да се съобразяват и прилагат действащите към момента на извършване на нарушението материалноправни разпоредби, а именно прилагането едновременно на тези уредени в ЗЗЛД (в приложимата редакция) и тези в Регламента. В този смисъл е и последвалото изменение на българската законова уредба, съгласно чл. 1,( ред. ДВ, бр. 17 от 2019 г.) от ЗЗЛД.

Освен изложените от административния съд съображения по повод приложимото материално право следва да се посочи, че според него административният орган правилно е приложил разпоредбите на Регламент 2016/679, като е анализирал чл. 4, § 2 от него относно легалното определение за обработване и на чл. 5 от същия относно законосъобразното, добросъвестно и по прозрачен начин обработване на личните данни. Такъв е и изводът му, че не са налице и останалите условия за допустимост на обработването, посочени в чл. 4, ал. 1, т. т.1, 4, 5, 6 и 7 (отм.) от ЗЗЛД, както и тези по чл. 6, § 1 от Регламента по отношение на "Т. Б" ЕАД, "Т. Т" ООД, "Т. Т. С Загора" ООД и "Руския А 75" ЕООД. От мотивите на съдебното решение, след направено просторно изложение относно доказване твърденията на жалбоподателите в съдебното производство, непредставяне на други доказателства в същото (проведено е едно единствено съдебно заседание, в което е приета само административната преписка), и обсъждане на съдържанието на договорите между тези дружества, се установява, че съдът е констатирал грешна преценка на административния орган при прилагането на материалния закон в частта относно определянето на санкцията на извършените нарушения. За да се обоснове и след анализ на посочените договори, респ. споразумения, е счел, че само "Т. Б" ЕАД представлява администратор на лични данни, докато другите три дружества са "обработващи лични данни". Поради това, видно от съдържанието на същите, съпоставянето им по дати на сключване, както и отсъствие на договор за включване на "Руския А 75" ЕООД се явява нарушен чл. 24, ал. 1 (отм.) от ЗЗЛД и на чл. 28, § 3, във връзка с § 9 от с. р. от Регламента, т. е. е налице обработване без основание, което според съда обосновава санкциониране на основание чл. 83, § 4, б."а", във връзка с чл. 28, § 9 или на основание чл. 83, § 5, б."а" при съобразяване с критериите по чл. 83, § 3 от Регламента. Първият касатор изразява становище, че съдът се произнесъл "свръх петитум", понеже жалбоподателите пред АССГ не са навеждали доводи за нарушаване на тези разпоредби, както и че КЗЛД има единствено в правомощията си, доколкото е сезирана с жалба да констатира нарушения на разпоредбите на ЗЗЛД и/или Регламент 2016/679.

Настоящият съдебен състав намира, че първата касационна жалба е основателна, а втората е неоснователна, по повод допуснати нарушения на материалния закон, още повече, че съдебният състав се явява задължен да се произнесе с оглед прилагането на чл. 218 от АПК. Налице е нарушаване и на процесуалния закон. Следва да се посочи, че по делото не е бил оспорван факта, че между посочените четири търговски дружества са налице правоотношения възникнали по силата на конкретно цитирани договори, респ. споразумения, сключени между тях. Не е бил спорен и факта на възникналите задължения между страните по тях, а е бил спорен фактът на начина на изпълнението им от тях, респ. квалифицирането им като нарушения по смисъла на ЗЗЛД и на Регламента. В случая е налице допуснато нарушение и на процесуалните правила, доколкото предмета на спора се формира от предмета на жалбата. Действително съдът е сезиран с жалба с твърдения за материална незаконосъобразност на административен акт и предмет на съдебен контрол е този акт, респ. материалните разпоредби, на които административният орган, негов издател се е позовал. В рамките на същия съдът е следвало да се произнесе, а не по пътя на тълкуване съдържанието на договорите между страните от гледна точка на датата на сключването им, и възможността за тяхното изпълнение във времето, респ. отсъствие на един от тях по обективни причини, (наводнение в помещението, където е съхраняван, по информация дадена от представляващия "Руския А 75" ЕООД в отговор на писмо на КЗЛД и по което няма спор) и търговските им взаимоотношения, да обосновава извод и за други нарушения, неконстатирани от административния орган, още повече, че същите рефлектират върху вида и размера на санкциите, които следва да бъдат приложени. Следва да се посочи, че в съдебното производство не са събирани други, различни доказателства и доказателствени средства от тези в административното производство.

Преценката е на административния орган относно правното основание за налагане на съответното административно наказание. Съобразно приложимото към случая право, в обстоятелствената част на решението на КЗЛД са изложени подробни съображения във връзка с определените по вид и размер конкретни санкционни мерки - имуществени санкции. Административният акт, като издаден при условията на оперативна самостоятелност, съдържа конкретни и ясни мотиви за направения избор на най-ефективна, целесъобразна и съобразена с принципа на пропорционалност корективна мярка при така констатираните нарушения от търговските дружества. Обосновани са размерите на избраните корективни мерки за всеки един от адресатите на акта, при което са взети предвид изяснените по случая релевантни обстоятелства с утежняващ характер и нормативно установеният максимален размер на имуществената санкция. Съображенията на органа са последователни, логични и в съответствие с тежестта (в това число продължителността) на извършените нарушения от санкционираните лица.

По изложените съображения следва да се приема, че обжалваното решение е неправилно, като постановено в нарушение на закона в частта, с която с него е отменен акта на КЗЛД по повод наложените имуществени санкции, като след като спорът е изяснен от фактическа страна следва да се постанови решение по съществото му с отхвърляне на жалбите на "Т. Б" ЕАД, "Т. Т" ООД, "Т. Т. С Загора" ООД и "Руския А 75" ЕООД срещу него в посочената част от административния акт. Касационната жалба на "Т. Б" ЕАД срещу съдебното решение по повод оспорването на материалната законосъобразност на решението на КЗЛД е неоснователна и решението в тази част следва да се остави в сила. Касационната жалба на "Т. Б" ЕАД срещу решението, с което е отменено решението на КЗЛД по повод наложените имуществени санкции, следва да се остави без разглеждане като процесуално недопустима и производството в тази част следва да се прекрати.

При този изход от спора на първия касационен жалбоподател не следва да се присъждат съдебни разноски за настоящата съдебна инстанция, понеже такива не са поискани. Такива не следва да се присъждат и на втория касационен жалбоподател, понеже освен, че не са претендирани, то с оглед изхода от спора не би следвало също да се присъждат. На ответните страни по касационните жалби също не следва да се присъждат съдебни разноски с оглед изхода от спора. Следва да се посочи, че с обжалвания съдебен акт са присъдени съдебни разноски в полза на две от търговските дружества, в общ размер от 500.00 лв., те са такива за адвокатско възнаграждение и са възложени в тежест на КЗЛД. В касационната жалба на КЗЛД няма изложени съображения за обжалването на съдебното решение в частта за съдебните разноски.

Съобразно изложеното и на основание чл. 221, ал. 2 и чл. 222, ал. 1 и чл. 215 от АПК, Върховният административен съд, пето отделение

РЕШИ:

ОТМЕНЯ по жалба на Комисията за защита на личните данни решение № 1748 от 11.03.2020 г. по адм. дело № 60 по описа за 2020 г. на Административен съд - София град в частта му, с която е отменено нейно решение № ППН-01-458/2018 от 04.10.2019 г. по повод наложени имуществени санкции и преписката е върната за ново произнасяне и вместо него ПОСТАНОВЯВА:

ОТХВЪРЛЯ жалбите на "Т. Б" ЕАД, "Т. Т" ООД, "Т. Т. С Загора" ООД и "Руския А 75" ЕООД срещу решение № ППН-01-458/2018 от 04.10.2019 г. на Комисията за защита на личните данни, с което на на основание чл. 83, § 5, б."а", във връзка с чл. 58, § 2 от Регламент (ЕС) 2016/679 са им наложени имуществени санкции в размер на 100 000.00 лв., на 50 000.00 лв., на 50 000.00 лв. и на 35 000.00 лв.

ОСТАВЯ В СИЛА решение № 1748 от 11.03.2020 г. по адм. дело № 60 по описа за 2020 г. на Административен съд - София град в останалата му част, с която жалбата на Р.С е обявена за основателна.

О. Б. Р. касационната жалба на "Т. Б" ЕАД срещу решение № 1748 от 11.03.2020 г. по адм. дело № 60 по описа за 2020 г. на Административен съд - София град в частта му, с която е отменено решение № ППН-01-458/2018 от 04.10.2019 г. по повод наложена му имуществена санкция и преписката е върната за ново произнасяне като процесуално недопустима.

ПРЕКРАТЯВА производството по делото в тази му част.

Решението е окончателно и не подлежи на обжалване, а в прекратителната му част, с характер на определение може да се обжалва с частна жалба в 7-дневен срок от съобщението до страните пред Върховен административен съд, II колегия, петчленен състав