Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на единадесети май две хиляди и двадесет и втора година в състав: ПРЕДСЕДАТЕЛ: В. Г. ЧЛЕНОВЕ: ГАЛИНА КАРА. Н. при секретар М. Д. и с участието на прокурора Ч. С. изслуша докладваното от съдията Г. К. по административно дело № 1956 / 2022 г.
Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).
Образувано е по касационна жалба, подадена от "С. Н. АД, [ЕИК], със седалище и адрес на управление гр. София, бул. "В. В. № 9, представлявано от изпълнителния директор В. Т., чрез пълномощника главен юрисконсулт К. Д., против Решение № 7868 от 23.12.2021 г., постановено по адм. дело № 11051/2021 г. на Административен съд - София-град (АССГ), Второ отделение, 41 състав, с което е отхвърлена жалбата на дружеството против точки 4, 5 и 6 от Решение № ППН-01-871 от 27.09.2021 г. на Комисията за защита на личните данни (КЗЛД, Комисията).
В касационната жалба са развити доводи, че съдебното решение е неправилно поради допуснато нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано, като се иска отмяната му и настоящата инстанция да реши спора по същество. Претендират се разноски за производството, възразява се относно присъждане на разноски за ответните страни, алтернативно се прави възражение за тяхната прекомерност.
О. К. за защита на личните данни, в писмено становище, чрез процесуалния си представител служител с юридическо образование К. П., оспорва касационната жалба и моли да бъде отхвърлена като неоснователна. Претендира присъждане на разноски за касационното производство за юрисконсултско възнаграждение. Прави искане за намаляване на евентуално претендирано от касатора адвокатско възнаграждение до минимума, предвиден в Наредба № 1 за минималните адвокатски възнаграждения.
Ответницата по касация - Д. Б. не изразява становище по касационната жалба.
Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Счита, че съдебното решение е валидно, допустимо и правилно и следва да бъде оставено в сила.
Върховният административен съд, състав на Пето отделение, след като прецени данните по делото и доводите на страните и сам извърши служебна проверка на оспореното решение на основание чл. 218, ал. 2 от АПК, приема за установено следното:
Касационната жалба е подадена от надлежна страна, против подлежащ на оспорване съдебен акт, който е неблагоприятен за нея, както и в рамките на преклузивния срок по чл. 211 от АПК, поради което е процесуално допустима. Разгледана по същество е неоснователна.
Предмет на контрол за законосъобразност в производството пред АССГ е Решение № ППН-01-871/27.09.2021г. на КЗЛД, в частта по т. 4, 5 и 6, с които е обявена за основателна спрямо настоящия касатор жалбата на Д. Б., разпоредено му е в три месечен срок да съобрази операциите по обработване на лични данни с изискванията на Регламент 2016/679 за точност, като провери системата за евентуална автоматична индексация и вписване на ЕГН на лица с идентични имена при липса на ЕГН от източника на информация и му е наложена имуществена санкция в размер на 5000 лева.
Съдът е обсъдил събраните по делото доказателства и вярно и точно е установил фактите по спора, като по фактическите му установявания не се спори понастоящем, а само по правните изводи, изградени на базата на установените факти.
Съдът е установил, че производството пред КЗЛД е образувано по жалба на Д. Б., съдържаща оплакване за неправомерно използване на личните й данни от страна на Агенцията по вписванията (АВ), Националната агенция за приходите (НАП), изразяващо се в многократното й търсене, последното от НАП по телефона на 01.12.2020 г., във връзка с ликвидиране на различни предприятия поради съвпадение на името й с това на вписан в списъка към АВ ликвидатор, който е посочен с ЕГН на жалбоподателката. Последната е направила справка в правно-информационната система (ПИС) на "С. Н. АД и е констатирала, че на нейно име и ЕГН са записани около 70 фирми в ликвидация.
За образуваното пред КЗЛД производство, Комисията е уведомила и е поискала становище от АВ, НАП и "С. Н. АД. От представените отговори и доказателства е установено, че действително лице с имена Д. Б. е подала заявление и е вписана в списъка на ликвидаторите към АВ, но с ЕГН, различен от този на жалбоподателката пред КЗЛД.
Видно от екранни разпечатки от ПИС "Сиела" - регистър Булстат, съществува запис на лице с имена Д. Б. и ЕГН като на жалбоподателката като ликвидатор. Жалбоподателката няма статут на ликвидатор, а такъв на земеделски производител, която информация се съдържа в регистър Булстат на АВ.
В становището на "С. Н. АД от 11.05.2021 г., депозирано пред КЗЛД, е посочено, че всички данни, които се съдържат в неговите продукти, се получават във файлове от АВ по силата на договор от 25.06.2008 г. Получените данни се генерират автоматично в системата. Тези файлове не се съхраняват с оглед голямата давност на информацията. Впоследствие, практиката на АВ да се идентифицират лицата по ЕГН е преустановена и същото вече не се съдържа в подаваната от нея информация. В документите, в които фигурира името Д. Б., адресът и ЕГН се отнасят до лице, упражняващо адвокатска професия, и липсват документи, свързани и носещи личните данни на жалбоподателката пред КЗЛД. Несъответствието е отстранено в информационните масиви на АВ, но в ПИС "Сиела" данните са останали.
Към момента на изпращане на становището е направена корекция и жалбоподателката вече не фигурира с име и ЕГН като ликвидатор на търговски дружества. Представени са доказателства - договор с АВ от 25.06.2008 г., по силата на който дружеството е получило еднократен достъп до цялата база данни за търговските субекти по чл. 2 от Закона за търговския регистър (ЗТР), след което получава актуална информация за вписванията в реално време, в момента на извършване на съответното действие чрез технически обмен на данни в ХМL формат. В чл. 7 от договора е предвидено задължение за "С. Н. АД да проверява съдържанието на получената от АВ информация и да върне потвърждение по електронна поща.
При тези данни, КЗЛД е приела жалбата за допустима, насрочила е разглеждането й в открито заседание, за което страните са уведомени, съответно са представили становища. Преписката е разгледана на заседание на комисията на 21.07.2021 г. по протокол № 31, т. 2 от дневния ред, въз основа на който е издадено и процесното решение, с което жалбата е приета за основателна по отношение "С. Н. АД. Това е така, тъй като администраторът е обработил личните данни чрез посочване на ЕГН по партидите на няколко дружества, на които е назначен ликвидатор с идентични имена като тези на жалбоподателката. Не е установено ЕГН да е предоставено от АВ чрез автоматично получените пакети по услугата по интеграция между ТР и ПИС "Сиела". Посочването на ЕГН на жалбоподателката пред КЗЛД, като ликвидатор на търговски дружества по партидата им е неточно, което представлява нарушение на чл. 5, 1, б. „г“ от Регламент 2016/679, изразяващо се в автоматично индексиране и пренасяне на ЕГН при лица с идентични имена, когато за едно от тях няма ЕГН. КЗЛД е приложила и мярката по чл. 58, 2, б. „г“ като е дала предписание в 3-месечен срок дружеството да съобрази операциите по обработване на лични данни с разпоредбите на регламента за точност на обработваните данни чрез проверка на системата за евентуална автоматична индексация и вписване на ЕГН на лица с идентични имена при липса на ЕГН от източника на информация. КЗЛД е наложила и имуществена санкция, като решението е взето единодушно от четиримата членове на КЗЛД.
При тези фактически данни, от правна страна съдът е приел, че оспореният административен акт е издаден от компетентен орган, в предвидената от закона форма, съдържа необходимите реквизити – наименование на органа и акта, адресат, фактически и правни основания за издаването му, разпоредителна част, дата на издаване и подписи, съответно при издаването му не са допуснати съществени административно-процесуални нарушения.
Първоинстанционният съд е отхвърлил възражението на настоящия касатор, че решението на КЗЛД е недопустимо като постановено по недопустима жалба, подадена след изтичане на срока по чл. 38 от Закона за защита на личните данни - 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. Съдът е посочил, че жалбоподателката в производството пред КЗЛД не е знаела за извършване на нарушение от страна на дружеството към момента на подаване на жалбата пред Комисията. Тя е разполагала с информация, че в ПИС на дружеството, единния й граждански номер фигурира като такъв на лице със същото име – ликвидатор на около 70 търговски дружества, но не е знаела, че това обстоятелство се дължи на нарушение от негова страна. Нарушението е констатирано от КЗЛД в разпечатки от ПИС "Сиела" от партидите на три търговски дружества – към 12.11.2019 г., 17.04.2019 г. и 22.06.2020 г. Жалбата до КЗЛД е подадена на 04.12.2020 г., т. е. в рамките на 2 години от първата констатация на нарушението.
Съдът е приел, че КЗЛД е събрала всички необходими доказателства, съгласно чл. 36 от АПК и е изследвала обективно всички факти като подробно е мотивирала изводите си, съответно не е налице и противоречие на оспорения акт с материалния закон. Нарушението е безспорно установено - личните данни Д. Б. са обработени, чрез вписване на нейния ЕГН като ликвидатор по партидите на три търговски дружества, поради съвпадане на името й с това на друго лице, което съставлява нарушение на въведения в чл. 5, 1, б. „г“ от ОРЗД принципа на точност на данните. Ирелевантни са причините, поради които ЕГН е обработван от дружеството по посочения начин - смесването на личните данни на лицето ликвидатор и на жалбоподателката като земеделски производител, като същите не променят факта на нарушението на принципа на точност, допуснато от дружеството.
Съдът е приел, че правилно жалбата е приета за основателна, съответно правилно е наложено и процесното предписание, като изборът на правомощие по чл. 58 от ОРЗД е въпрос на оперативна самостоятелност на КЗЛД и на съдебен контрол подлежи само това дали са спазени пределите на оперативната самостоятелност, като в случая същите са спазени - КЗЛД е избрала ефективна мярка - даване на предписание по отношение мерките за осигуряване на точност на съхраняваните лични данни, като е изложила своите мотиви.
По отношение наложената имуществена санкция, съдът е съобразил, че размерът съответства на тежестта на нарушението. Същото е станало достояние на неограничен кръг лица, ползващи ПИС "Сиела" и ги е въвело в заблуждение. Също така е причинило и неудобства на лицето и други институции, което е отегчаващо обстоятелство по смисъла на чл. 83, 2, б. „а“ от Регламента. Поради това размерът на наложената санкция е определен правилно, като са съобразени и смекчаващите обстоятелства, свързани с обема на личните данни, статута на жалбоподателя като средно предприятие и отстраняването на нарушението в хода на административното производство.
По тези съображения, съдът е постановил оспорения в касационното производство резултат.
Така постановеното съдебно решение е валидно, допустимо и правилно.
Не е налице твърдяното в касационната жалба нарушение на съда, изразяващо се в това, че е приел за допустимо производството пред КЗЛД, като е отхвърлил възражението, че жалбата, с която е сезирана Комисията е недопустима - подадена след срока по чл. 38 от ЗЗЛД. Обосновани с оглед данните по делото и съответни на закона са изводите на съда, че производството и решението на КЗЛД са допустими.
Вярно е, посоченото в касационната жалба, че жалбоподателката е имала информация (видно от жалбата й до Окръжна прокуратура - Монтана), че в ПИС "Сиела" фигурира нейния ЕГН като такъв на лице със същите имена, посочено като ликвидатор на търговски дружества, но не намира опора в данните по делото твърдението, че същата е знаела, че посоченото се дължи именно на обработката на данните от "С. Н. АД, съответно именно дружеството е извършило нарушението. Напротив, в жалбата си до КЗЛД жалбоподателката е заявила искане за извършване на проверка по отношение използваните й лични данни, като е посочила, че лицето, с което има съвпадение на имената, неправомерно е използвала нейния ЕГН. В обстоятелствената част е описала "тормоза" на който е била подложена - да бъде търсена от различни полицейски и други органи, например НАП, последно, чрез обаждане от НАП - Сливен по телефона на 01.12.2020 г., осъществено от поименно посоченото длъжностно лице, но липсва твърдение нарушителят да е настоящият касатор. По аналогичен начин и в жалбата си до прокуратурата, жалбоподателката в производството пред КЗЛД ограничава твърденията си до това, че неправомерно е посочена като "ликвидатор" без да е давала съгласие, без да е подписвала документи като ликвидатор и някой злоупотребява с данните й. Не се сочи нарушителят да е настоящият касатор. В петитума на жалбата до КЗЛК се иска да се накаже виновното лице, без да е посочено кое е то, като се иска именно при проверката да се установи същото. Поради това правилно АССГ е приел, че жалбоподателката не е знаела на какво се дължи нарушението, изразяващо се в посочването й в ПИС като ликвидатор, съответно не е знаела дали нарушението е извършено именно от настоящия касатор или от посочените в жалбата й АВ, НАП или други длъжностни лица. В този смисъл, несъстоятелни са доводите за просрочие на жалбата на Д. Б. по отношение касатора.
Ирелевантни са доводите в касационната жалба, че "С. Н. АД не е уведомено от жалбоподателката Борисова, както и от други компетентни лица за допусната в ПИС техническа грешка, както и доводите, че заинтересованото лице не е упражнило правата си по чл. 15-22 от Регламента. Нарушението е установено от събраните в административното производство доказателства и за липсата на мерки за осигуряване на точност на обработката на личните данни е без значение уведомяването или не на дружеството от трети лица за допуснатото нарушение. Подобно уведомяване има значение за отстраняване на нарушението, но не и за неговото осъществяване.
Лицето, което твърди нарушаване на правата му по Регламента има право само да избере пътя на защита, поради което ирелеватно за съставомерността на нарушението е обстоятелството, че то не е упражнило правата си по реда на чл. 15-22 от Регламента. Следва да се добави към мотивите на първоинстанционният съд относно срочността, съответно допустимостта на жалбата пред КЗЛД, които напълно се споделят от настоящата инстанция и обстоятелството, че нарушението е продължавано, като е съществувало и към момента на сезиране на КЗЛД, което е установено от екранни разпечатки, приложени в производството пред Комисията.
Неоснователно е и възражението, че изводите на съда са необосновани. Решението е съобразено с всички събрани по делото доказателства, които подробно са обсъдени, като не са допуснати логически грешки при формиране на изводите на съда. Категорично е установено от КЗЛД, съответно е прието и от съда, че АВ е преустановила практиката си лицата да се идентифицират по ЕГН, като данните които е подавала на "С. Н. АД, не съдържат ЕГН. В документите, в които фигурира името Д. Б., адресът и ЕГН се отнасят до лице, упражняващо адвокатска професия, като липсват документи, свързани и носещи личните данни на жалбоподателката пред КЗЛД. Несъответствието е отстранено в информационните масиви на АВ, но в ПИС "Сиела" - С. И. данните са останали, с което е осъществено и нарушението. Всички технически обстоятелства свързани с това, които се сочат в касационната жалба, например възможностите за автоматична корекция и други подобни, не могат да бъдат взети предвид и не могат да осъществят целта да оневинят дружеството. Намирането на техническо решение за корекция и проверка на обработваните лични данни, което впоследствие е осъществено, доказва, че е налице възможност за спазване на принципа на точност на личните данни, въведен като задължение в Регламента. Отстраняване на нарушението е отчетено и като смекчаващо отговорността обстоятелство, но същото не се отразява на факта, че нарушението е осъществено.
Представените в настоящото производство писмени доказателства са част от административната преписка, не съдържат нови данни, които да водят до промяна на изводите от фактическа страна.
Не е налице и твърдяното в касационната жалба неправилно приложение на материалния закон.
Принципът за точност при обработване на личните данни по чл. 5, параграф 1, буква „г“ от Регламента предвижда, че личните данни следва да са точни и при необходимост да бъдат поддържани в актуален вид. Законосъобразен е изводът на съда, че настоящият касатор, чрез посочване на ЕГН на Д. Б. като ликвидатор на няколко търговски дружества, е нарушил принципът за точност. Независимо от характера на обработката - включване на данните в правно-информационна система, която има справочна функция, върху дружеството тежи задължението обработваните лични данни да са точни, тъй като попадат в приложното поле на Регламента. Първоинстанционният съд правилно е приел законосъобразност на решението на КЗЛД, с което е прието извършване на нарушението, съответно е прието, че подадената жалба е основателна по отношение настоящия касатор.
Правилно съдът е приложил материалния закон като е приел, че даденото предписание е в рамките на оперативната самостоятелност на административния орган, както и че мярката е подходяща.
Правилно е приложен материалния закон и при преценката на размера на наложената имуществена санкция, като са отчетени всички обстоятелства по чл. 83, параграф 2 б. “а“ от Регламента. Отчетени са както отегчаващите обстоятелства - нарушението е станало достояние на неограничен кръг лица, ползващи ПИС "Сиела", което ги е въвело в заблуждение, така и смекчаващите отговорността обстоятелства - отстраняване на нарушението в хода на административното производство, обработката само на ЕГН, като размерът на наложената санкция е правилно определен и е справедлив, както са приели и КЗЛД и съдът.
При постановяване на решението съдът не е допуснал нарушения, съставляващи касационни основания за отмяна, поради което същото като валидно, допустимо и правилно следва да бъде оставено в сила.
С оглед изхода на спора е основателна своевременно заявената претенция за присъждане на разноски в полза на КЗЛД за юрисконсултско възнаграждение за касационната инстанция. На основание чл. 78, ал. 8 от ГПК, във вр. с чл. 144 от АПК и чл. 36 от Закона за правната помощ, във вр. с чл. 24 от Наредбата за заплащане на правната помощ, възнаграждението следва да бъде определено в размер на 100 лева.
По изложените съображения и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, състав на Пето отделение,
РЕШИ:
ОСТАВЯ В СИЛА Решение № 7868 от 23.12.2021 г., постановено по адм. дело № 11051/2021 г. на Административен съд - София-град (АССГ), Второ отделение, 41 състав.
ОСЪЖДА "С. Н. АД, [ЕИК], със седалище и адрес на управление гр. София, бул. "В. В. № 9, представлявано от изпълнителния директор В. Т. да заплати на Комисията за защита на личните данни сумата от 100 (сто) лева, направени разноски за касационното производство за юрисконсултско възнаграждение.
Решението не подлежи на обжалване.
Вярно с оригинала,
ПРЕДСЕДАТЕЛ:
/п/ ВИОЛЕТА ГЛАВИНОВА
секретар:
ЧЛЕНОВЕ:
/п/ Г. К. п/ МАРИЯ НИКОЛОВА