Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).
Образувано е по касационна жалба на Комисията за защита на личните данни (КЗЛД) чрез процесуален представител срещу решение № 1276/01.03.2021 г. по адм. дело №7487/2020 г. на Административен съд - София - град, с което е отменено решение № ППН -01 -370/ 20.02.2020 г. на КЗЛД в частта по т.2 и т.4 от диспозитива, по жалба на ЗК [Фирма 1], гр. С.. Касаторът поддържа в касационната жалба и в съдебно заседание чрез процесуален представител, че обжалваното решение е неправилно - необосновано и постановено в нарушение на материалния закон, иска отмяната му, отхвърляне на жалбата срещу опорените части от решението на КЗЛД, присъждане на юрисконсултско възнаграждение.
Ответникът по касационна жалба - ЗК [Фирма 1], гр. С., чрез процесуален представител в съдебно заседание иска оставяне на решението в сила и присъждане на юрисконсултско възнаграждение.
Ответниците по касационна жалба - "Х. П" ЕООД, гр. С., и Г.Г, с адрес в [населено място], не взимат становище по касационната жалба.
Представителят на Върховна административна прокуратура изразява становище за неоснователност на касационната жалба.
Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна.
За да постанови обжалваното решение, АССГ е приел за установено, че с обжалваните от ЗК [Фирма 1] части от решението на КЗЛД е обявена жалба, подадена от Г.Г за основателна по отношение на ЗК [Фирма 1] за извършване на неправомерно обработване на личните данни на Георгиев, без предприемане на необходимите технически и организационни мерки, предвидени в чл.23, ал.1 (отм.) от ЗЗЛД (ЗАКОН ЗЗД ЗАЩИТА НА ЛИЧНИТЕ ДАННИ) (ЗЗЛД), респ. в чл.32 от Общия регламент за защита на данните (ОРЗД) и на основание чл.58, пар.2, б."и" във връзка с чл.83, пар.4, б."а" от Регламент (ЕС) 2016/679 (ОРЗД) за обработването на лични данни на Г.Г, без предприемане на необходимите технически и организационни мерки за защитата им, на ЗК [Фирма 1] е наложена имуществена санкция в размер на 5000 лева. АССГ е приел, че оспорените части от решението са издадени от компетентен орган, в изискуемата от закона писмена форма, съдържат необходимите реквизити, при издаването им са спазени приложимите административно - процесуални норми. Съдът е приел, че решението в тези си части е материално - правно незаконосъобразно, тъй като отговорността на застрахователя в конкретния случай не обхваща действията извършени пред застрахователния агент и от агента "Х. П" ЕООД по сключване на застрахователните договори за задължителна застраховка "гражданска отговорност" за автомобилите, собственост на Георгиев - нов внос, все още нерегистрирани в КАТ.Зтелят в качеството си на администратор на лични данни единствено е съхранявал застрахователните полици и без значение при преценка дали е изпълнил задълженията си по Регламент (ЕС) 2016/679 (ОРЗД) и ЗЗЛД е кой е застраховащият - Георгиев или трето неустановено лице. АССГ е посочил, че КЗЛД се е произнесъл по въпроси, които са извън компетентността му - а именно дали застрахователните полици без подпис на застраховащ са валидни и не е установил каквото и да е нарушение от страна на застрахователя и в частност непредприемане на технически и организационни мерки за осигуряване на сигурността на обработката на личните данни.
Решението е правилно като краен резултат, макар и настоящият състав да не споделя всички мотиви относно материално - правната незаконосъобразност в решението на АССГ.
В решението на КЗЛД са описани множество действия на застрахователния агент, за които застрахователят не носи отговорност, както правилно е приел АССГ. КЗЛД декларативно е посочила, че нарушението на застрахователя - ЗК [Фирма 1] се състои в обработване на личните данни без предприемане на изискуемите от ЗЗЛД и Регламент (ЕС) 2016/679 (ОРЗД) технически и организационни мерки за защитата им, като и наложената имуществена санкция е именно за това. Следва да се отбележи, че в производството пред КЗЛД изобщо не са събирани доказателства за наличие или липса на технически или организационни мерки при застрахователя за защитата на личните данни на Георгиев като собственик на застрахован автомобил. Собствеността е установена безспорно от придружаващите полиците документи за покупката на автомобила извън България и личните данни на собственика се обработват при наличие на застрахователната полица за задължителната застраховка "гражданска отговорност" по силата на чл.477, ал.2 от Кодекса за застраховането, независимо кой е застраховащият. КЗЛД не е санкционирала ЗК [Фирма 1] за неправомерно обработване на данните без правно основание, поради което въпросът за липсващия подпис на полицата и валидността й са ирелеватни към твърдяното от комисията нарушение на ЗК [Фирма 1]. В същото време КЗЛД не е установила администраторът на лични данни да е извършил каквото и да е било нарушение по чл.23, ал.1 ЗЗЛД или чл.32 Регламент (ЕС) 2016/679 (ОРЗД) при осигуряване на сигурността на личните данни на Георгиев или евентуален неправомерен достъп или разпространение на тези данни, които да сочат на липса на адекватна защита. Не на последно място КЗЛД не е установила с годни доказателства дори дали телефонното позвъняване с напомняне за изтичащ срок на една от полиците до Георгиев, описано в жалбата му до КЗЛД, се е състояло изобщо и ако да - дали е от застрахователния агент "Х. П" ЕООД или от ЗК [Фирма 1]. Отделно от това следва да се посочи, че в решението на КЗЛД изобщо не е обсъждана хипотезата на чл.32, ал.4 Регламент (ЕС) 2016/679 (ОРЗД) в която администраторът на лични данни - ЗК [Фирма 1] да е длъжен да контролира всяко обработване от страна застрахователния агент "Х. П" АД на лични данни, включително и на Георгиев. Предвид изложеното навеждането на подобни доводи за пръв път в касационната жалба представлява недопустим опит за дописване на нови мотиви на решението на КЗЛД. Както и КЗЛД е посочила в решението си, има ред разпоредби на български нормативни актове, задължаващи застрахователният агент да обработва лични данни без указания на застрахователя, поради което е налице изключение от задължението на администратора на лични данни по чл.32, ал.4 Регламент (ЕС) 2016/679 (ОРЗД) да указва всяко обработване на лични данни на лице, действащо под негово ръководство.
Предвид изложеното преценката на АССГ за материално - правна незаконосъобразност на оспорените пред съда части от решението на КЗЛД е правилна като краен резултат и решението следва да бъде оставено в сила. С оглед изхода на делото няма правна възможност за присъждане на претендираното от касатора юрисконсултско възнаграждение, а на ЗК [Фирма 1], гр. С.,следва да бъде присъдено юрисконсултско възнаграждение в размер на 150 лв. за касационната инстанция на основание чл. 78, ал. 8 от ГПК, вр. чл. 37 от ЗПрП (ЗАКОН ЗЗД ПРАВНАТА ПОМОЩ), вр. чл.24 от Наредба за заплащането на правната помощ, предвид фактическата и правна сложност на спора, платимо от касатора.
Воден от горното и на основание чл. 221, ал.2, предл. първо от АПК, Върховния административен съд, пето отделение РЕШИ:
ОСТАВЯ В СИЛА решение № 1276/01.03.2021 г. по адм. дело №7487/2020 г. на Административен съд - София - град.
ОСЪЖДА Комисията за защита на личните данни да заплати 150 ( сто и петдесет) лева разноски по делото на Застрахователна компания [Фирма 1], гр. С., бул. "Симеоновско шосе" №67А.
Решението е окончателно и не подлежи на обжалване.