Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на пети октомври две хиляди и двадесет и втора година в състав: Председател: Д. Ч. Членове: ЕМАНОИЛ М. Д. при секретар М. Д. и с участието на прокурора Д. К. изслуша докладваното от председателя Д. Ч. по административно дело № 3665 / 2022 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на „Унитрейд 2011“ООД срещу решение №524/31.01.22 г., постановено по адм. д. 5189/2021 г. по описа на Административен съд София-град (АССГ).

Касаторът оспорва съдебното решение като твърди, че е неправилно поради допуснати нарушения на материалния закон и необоснованост - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК, поради което иска да бъде отменено или изменено в частта, в която е наложена имуществена санкция като тя бъде намалена. Подробни съображения в подкрепа на твърдените касационни основания и исканията са изложени в касационната жалба. Претендира заплащане на разноски.

Ответната страна Комисията за защита на личните данни (КЗЛД, Комисията) оспорва касационната жалба в открито съдебно заседание. Претендира разноски.

Ответникът О. К., редовно призован за съдебно заседание, не се явил и не е изразил становище по касационната жалба. Не претендира разноски.

Прокурорът от Върховна административна прокуратура заявява становище за частична основателност на касационната жалба.

Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество е неоснователна по следните съображения:

С обжалваното решение № 524/31.01.22 г., постановено по адм. д. 5189/2021 г. описа на АССГ е отхвърлена жалбата на „Унитрейд 2011“ООД срещу решение per. № ППН-01-353/2019 г. от 31.03.2021 г. на Комисията за защита на личните данни, с което е обявена за основателна жалбата на О. К. срещу „Унитрейд 2011“ООД и на основание чл. 58, 2, б. „и” във връзка с чл. 83, 5, б. „а“ за нарушение на чл. 6, 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните/ Регламент (ЕС) 2016/679) е наложена на „Унитрейд 2011“ООД имуществена санкция в размер на 10000 лв. и на основание чл. 58, 2, б. „г” за нарушение на чл. 6, 1 от Общия регламент относно защитата на данните е разпоредено на „Унитрейд 2011“ООД да заличи личните данни на О. К., да подаде декларация в НАП за заличаване на невярно подадените данни и да представи доказателства за изпълнение на Решение № ППН-01-306/2018/17.01.2019 г. за въведени вътрешни правила за обработване на данните както и е определен срок за изпълнение на разпореждането. АССГ е приел за установено, че описаното в решението на КЗЛД обработване на лични данни на О. К. без основание е извършено и представлява нарушение по смисъла на действащия през 2016 г. национален Закон за защита на личните данни (ЗЗЛД) и продължава при действието на Общия регламент относно защитата на данните, приложим от 25.05.2018 г. Решаващият съд е обосновал извод за действителност на атакуваното решение на КЗЛД и издаването му при спазване на административнопроизводствените правила, предвидената от закона форма, в съответствие с материалния закон и целта на закона.

Така постановеното съдебно решение е валидно, допустимо и правилно.

Атакуваното съдебно решение е постановено от законен състав след надлежно сезиране с процесуално допустима жалба против подлежащ на обжалване акт. При правилно установена фактическата обстановка по спора, решаващият съд е обосновал законосъобразни правни изводи, които при условията на чл. 221, ал. 2, изр. 2 от АПК се споделят от касационната инстанция.

Законосъобразно първоинстанционният съд приема, че КЗЛД е компетентен орган да установи незаконосъобразно обработване на лични данни на физическите лица и в проведеното административно производство не са допуснати нарушения на административнопроизводствените правила.

Въз основа на всички събрани по делото доказателства правилно е прието за установено от първата инстанция, че „Унитрейд 2011“ООД е обработвало личните данни на О. К. в обем три имена и ЕГН, като е записало, съхранило и предало на Националната агенция за приходите (НАП) в справки за изплатени доходи за 2016 г., 2017 г. и 2018 г. Обработването е започнало през 2016 г. и е продължило и през 2019 г. С оглед установените в закон срокове по Закона за данъците върху доходите на физическите лица се налага извод, че жалбата на О. К. от 05.04.2019 г. до КЗЛД е в срока по чл. 38, ал. 1 от ЗЗЛД.

Неоснователно е оплакването в касационната жалба за недопустимост на жалбата на О. К., инициираща производството пред Комисията. Съгласно чл. 38, ал. 1 от ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. На основание чл. 220 от АПК касационната инстанция преценява прилагането на материалния закон съобразно фактите, установени от първата инстанция. АССГ е установил от справка на НАП, че незаконосъобразното обработване на личните данни на О. К. е продължило и към 18.06.2020 г. т. е. към момента на сезиране на КЗЛД на 05.04.2019 г. нарушението е продължавало да се извършва и не е възможно да се приеме, че е изтекъл срока по чл. 38, ал. 1 от ЗЗЛД. Признанията на субекта на данните, че в неопределен момент през 2018 г. е узнал за извършените към този момент неправомерни действия по обработването им и е предприел извънинституционални действия те да бъдат преустановени (информирал е „Унитрейд 2011“ООД и получил уверение за съдействие) не променя този извод с оглед обстоятелството, че в случая обработването не е еднократен акт и не е прекратено в определен момент. Обработването от „Унитрейд 2011“ООД е продължило и след завършване на данъчната 2018 г., през която са съхранявани данните на О. К. като през 2019 г. са подадени по реда на чл. 73 от ЗДДФЛ в декларацията за изплатени през 2018 г. доходи на физически лица.

Неоснователно е оплакването на касационния жалбоподател, че АССГ не е обсъдил всичките му възражения, направени от него пред КЗЛД, която не е съобразила искането му за удължаване на срока за представяне на доказателства и не е изяснила всички относими факти и обстоятелства в нарушение на чл. 35 и чл. 36 от АПК. Обосновано и при съобразяване с допълнително ангажираните в съдебната фаза на производството доказателства, първоинстанционният съд е приел, че в административното производство не са допуснати нарушения при събиране на доказателствата и изясняване на спора от фактическа страна. Възникване на пожар през 2018 г. в архива на „Унитрейд 2011“ООД, огромният обем на съхраняваните документи и възможностите относно идентификация на физическите лица не са обстоятелства, които обуславят наличие на основание за освобождаване от отговорност на дружеството за извършеното нарушение. Доказването на тези обстоятелства не обуславя извод, че е доказано наличие на някое от основанията по чл. 6, 1 от Регламент (ЕС) 2016/679, защото нито едно от тях не попада в посочените в разпоредбата хипотези. По делото не са наведени никакви конкретни твърдения, съответно и доказателства, за наличие на основания за законосъобразно обработване от „Унитрейд 2011“ООД на личните данни на физическото лице. Доводите за липса на нарушение са аргументирани с предположения за възможни (и взаимно изключващи се) причини за липсата на доказателства за съществуването на основанието по чл. 6, 1, б. „б“ от Регламент (ЕС) 2016/679 – договор, по който субектът на данни е страна. В тежест на доказване на администратора на лични данни е съществуването на условията за допустимо обработване на личните данни на физическите лица и разпоредбата на чл. 25г от ЗЗЛД не е възможно да се разглежда като пречка пред подобно доказване, както се твърди в касационната жалба.

Неоснователно е оплакването в касационната жалба за допуснато нарушение от АССГ, изразяващо се в липса на преценка на решението на КЗЛД да наложи санкция вместо само мерки, посочени в чл. 58, 2 от Регламент (ЕС) 2016/679. При постановяване на обжалваното съдебно решение са обсъдени всички относими към спора доводи на страните, направен е задълбочен анализ на събраните по делото доказателства, изпълнено задължението за служебна проверка при условията на чл. 168, ал. 1 от АПК, както и е извършен съдебен контрол относно съображенията на КЗЛД при определяне на необходимостта санкция и вида на корективната мярка при отчитане на всички изисквания на чл. 83, 2 от Общия регламент за защита на личните данни. В случая изрично е съобразено и обстоятелството, че по отношение на администратора на лични данни вече са били налагани мерки по чл. 58, 2, б. „г“ от Общия регламент за защита на данните и мерките не са били спазени, поради което обосновано и в съответствие с целта на закона е наложена и санкция в справедлив размер, който да има възпиращо и предупредително действие, а не да създава икономически затруднения на администратора.

Доводите в касационната жалба относно момента на подаване на жалбата на О. К. спрямо датата на издаване на предходното решение за налагане на корективни мерки са без правно значение. Според чл. 83, 2 от Регламент (ЕС) 2016/679 в зависимост от обстоятелствата във всеки конкретен случай административните наказания „глоба“ или „имуществена санкция“ се налагат в допълнение към мерките, посочени в член 58, параграф 2, букви а)з) и й), или вместо тях. Когато се взема решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат следните елементи: естеството, тежестта и продължителността на нарушението, като се взема предвид естеството, обхватът или целта на съответното обработване, както и броят на засегнатите субекти на данни и степента на причинената им вреда; дали нарушението е извършено умишлено или по небрежност; действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни; степента на отговорност на администратора или обработващия лични данни като се вземат предвид технически и организационни мерки, въведени от тях в съответствие с членове 25 и 32; евентуални свързани предишни нарушения, извършени от администратора или обработващия лични данни; степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него; категориите лични данни, засегнати от нарушението; начина, по който нарушението е станало известно на надзорния орган, по-специално дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението; когато на засегнатия администратор или обработващ лични данни преди са налагани мерки, посочени в член 58, параграф 2, във връзка със същия предмет на обработването, дали посочените мерки са спазени; придържането към одобрени кодекси на поведение съгласно член 40 или одобрени механизми за сертифициране съгласно член 42 и всякакви други утежняващи или смекчаващи фактори, приложими към обстоятелствата по случая, като пряко или косвено реализирани финансови ползи или избегнати загуби вследствие на нарушението. Следователно от правно значение е извършването и друго нарушение, независимо, че формалното му установяване е станало след подаване на жалбата на О. К. на 05.04.2019 г. Мерките, които са наложени с Решение от 17.04.2019 г. на КЗЛД не са изпълнени и към 31.03.2021 г. - датата на издаване на оспореното пред АССГ решение на КЗЛД, поради което в него е включено разпореждане да бъде изпълнено решението от 17.04.2019 г. АССГ е обсъдил представената за първи път пред съдебната инстанция Заповед № 9/22.05.2019 г. на управителя на „Унитрейд 2011“ООД, от чието съдържание правилно е приел за установено, че с нея са предприети мерки за изпълнение на разпореждането от 17.07.2019 г. на КЗЛД, но очевидно от останалите събрани по делото доказателства те не са дали резултат и към издаване на Решението от 31.03.2021 г. на Комисията. Следователно правилно тези факти са използвани при преценката по чл. 82, 2 от Общия регламент за защита на данните относно необходимостта да се наложи имуществена санкция.

Становището на представителя на Върховната административна прокуратура по отношение на размера на имуществената санкция не е съобразено с обстоятелството, че по делото има доказателства за друго нарушение от същия вид, за което е била наложена имуществена санкция в размер на 1000 лв. и корективна мярка, която не е била изпълнена, както и че определянето на годишният световен оборот като основа за изчисляване на максималния размер на санкцията е една от двете алтернативи за този максимум според чл. 83, 5, б. „а“ от Регламент (ЕС) 2016/679. В случая Комисията е наложила имуществена санкция в размер на 10000 лв., който е съществено по-нисък от определената в абсолютна стойност алтернатива (20 000 000 EUR), което изключва необходимостта да се съобразява евентуална възможност при изчисление да се намери друг по-висок максимален размер.

С оглед на изложеното настоящият състав намира, че обжалваното решение е правилно, като не са налице сочените касационни основания за неговата отмяна. При направената служебна проверка по реда на чл. 218, ал. 2 от АПК касационната инстанция констатира, че същото е валидно и допустимо, поради което следва да бъде оставено в сила.

По водене на делото пред настоящата инстанция ответната страна КЗЛД не е направила разноски, но е представлявана от юрисконсулт, поради което с оглед изхода на спора, направеното искане и на основание чл. 143, ал. 4 от АПК има право на разноски в размер на 100 лв.

По изложените съображения Върховният административен съд, пето отделение,

РЕШИ:

ОСТАВЯ В СИЛА решение № 524/31.01.2022 г., постановено по адм. д. 5189/2021 г. по описа на Административен съд София-град.

ОСЪЖДА „Унитрейд 2011“ООД, гр. София, [улица]да заплати на Комисията за защита на личните данни, гр. София, [улица]сумата 100 (сто)лева.

РЕШЕНИЕТО не подлежи на обжалване.

Вярно с оригинала,

Председател:

/п/ ДОНКА ЧАКЪРОВА

секретар:

Членове:

/п/ Е. М. п/ ЕМИЛ ДИМИТРОВ