Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на шестнадесети юни в състав: ПРЕДСЕДАТЕЛ:В. Г. ЧЛЕНОВЕ:Г. К. Ю. К. при секретар М. Д. и с участието на прокурора В. С. докладваното от председателяВ. Г. по адм. дело № 4875/2021

Производството по делото е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на Комисия за защита на личните данни, подадена чрез процесуален представител юрк. А. против решение № 4258/29.07.2020г., постановено по адм. д. № 13679/2019г. по описа на Административен съд София-град (АССГ).

Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон и при съществено нарушение на съдопроизводствените правила – отменителни основания по чл. 209, т. 3 от АПК. Твърди, че към момента на приемане на решението се прилага Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламента) и следователно правилно са приложени относимите за случая правни норми.

Оспорва като неправилни изводите на съда за неправилно прилагане на разпоредбите на Регламента като основание за налагане на процесната санкция в административния акт.

Излага съображения, че изводите на административния съд за допуснато съществено нарушение на административната процедура поради неправилно конституиране на страните в производството пред КЗЛД също са неправилни и в противоречие с чл. 8в от Устройствения правилник на Агенцията за социално подпомагане.

Иска отмяна на решението и постановяване на решение по съществото на спора за потвърждаване на административния акт.

Ответната страна-Агенция за социално подпомагане, представлявана от юрк. К. оспорва касационната жалба като неоснователна.

Ответната страна – Фондация „Надежда“-Център за обществена подкрепа „Бъдеще“ ЕАД, представлявана от адв. Н. представя писмено становище по делото, в което оспорва касационната жалба като неоснователна.

Ответната страна-А. Л. лично и като майка и законен представител на малолетното дете Б. М. представя писмено становище за основателност на касационната жалба на Комисия за защита на личните данни и неправилност на обжалваното от нея решение.

Представителят на Върховна административна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Счита, че правилно е посочено от административния съд, че за деянието, извършено на 18.01.2018 г. се явява приложим Закон за защита на личните данни (в приложимата му редакция), а не Регламент ЕС 2016/679, явяващ се приложимо право, считано от 25.05.2018 година. Цитира съдебна практика в този смисъл. С оглед на съдържанието на административния акт от 7.11.2019 г. в оспорената му част, в който е обосновано нарушение на чл. 5, § 1, б. “а“ от Регламент 2016/679 г., извършено от Агенция за социално подпомагане (АСП) за изготвения социален доклад на 18.01.2018 г. от социален работник в Дирекция социално подпомагане (ДСП)- Красно село и е приложен чл. 58, § 2, б. “г“ на цитирания регламент е видно, че не са обсъдени приложимите нормативни разпоредби на ЗЗЛД (в действащата към момента на деянието редакция) и не е съобразено, че на Регламента не е предадено обратно действие.

Счита обаче, че административният съд не съобразява чл. 5 от Закона за социално подпомагане (ЗСП), регламентиращ създаването, структурата и поделенията на АСП като Изпълнителната агенция към МТСП за изпълнение на държавната политика в областта на социалното подпомагане явяващи се и юридически лица. В заключение е посочено, че доколкото правилно е отменен административния акт в оспорените му части т. 2 и 3 и преписката е върната за ново произнасяне съгласно чл. 173, ал. 2 от АПК обжалваното решение като краен правен резултат не страда от пороци по чл. 209, т. 3 от АПК, налагащи отмяната му и следва да се остави в сила, но с коригиращи мотиви.

Върховният административен съд, тричленен състав на пето отделение, след като се запозна с релевираните в касационната жалба отменителни основания, съобрази становищата на страните и фактите по делото и в съответствие с чл. 218 от АПК приема за установено следното от фактическа и правна страна:

Касационната жалба е процесуално допустима като подадена в срока по чл. 211, ал. 1 от АПК, от надлежна страна съгласно чл. 210, ал. 1 от АПК и срещу подлежащ на касационен контрол съдебен акт.

Разгледана по същество, касационната жалба е неоснователна.

С обжалваното решение – предмет на оспорване в настоящото производство, първоинстанционният съд отменя по жалба на Агенция за социално подпомагане Решение № ППН-01-949/2018г. от 07.11.2019г. на Комисия за защита на личните данни (КЗЛД) в частта му по т. 2, с която на основание чл. 57, § 1, б. „е“ от Регламент (ЕС) 2016/679, съответно чл. 10, ал. 1 във вр. с чл. 38, ал. 3 от Закона за защита на личните данни (ЗЗЛД) е обявена жалба с вх. № ППН-01-949/23.11.2018г., подадена от А. Л. за основателна в частта, подадена срещу АСП в частта му по т. 3, с която на основание чл. 58, § 2, б. „г“ от Регламент (ЕС) 2016/679 на агенцията е разпоредено да съобрази операциите по обработване на лични данни с разпоредбата на същия.

За да постанови този резултат, първоинстанционният състав приема следното от фактическа страна:

Производството по издаване на административния акт е образувано по жалба с вх. № ППН-01-949/23.11.2018г. на А. Л., с която сезира антидискриминационния орган за неправомерно използване на нейните и на детето й лични данни от Ф. Н. Център за обществена подкрепа (ЦОП) Бъдеще. Посочва, че в изготвения от фондацията заключителен доклад за резултатите от предоставяне на социална услуга са изписани пълните й лични данни, както и тези на детето, като същите не са предоставени от нея. Твърди, че личните данни са предоставени от бащата - ползвател на услугата, който ги предоставя навсякъде с цел да се снабдява с доказателства за делата, които двамата водят помежду си, свързани с детето им. Към жалбата е приложен заключителен доклад за резултатите от предоставяне на социалната услуга, изготвен от ЦОП Бъдеще.

Във връзка с жалбата директорът на центъра депозира писмо изх. № 405/11.12.2018 г. пред КЗЛД, в което е изразено становище, че личните данни на жалбоподателката и детето се обработват на основание чл. 6, т. 1, б. в от Регламент (ЕС) 2016/679, във вр. с чл. 5 от Наредба за критериите и стандартите за социални услуги за деца (НКССУД), поради което съгласие от майката за обработването им не е необходимо. Обхватът на обработваните данни се определя нормативно и искането на майката за извършването на легитимацията по друг начин не би могло да бъде изпълнено.

Административният орган приема подадената от А. Л. жалба за допустима и конституира страните в производството пред него-жалбоподател-Лилкова, и ответни страни Ф. Н. Център за обществена подкрепа Бъдеще и впоследствие и Агенция за социално подпомагане.

След събиране на доказателствата по преписката и проведените обсъждания по същество, Комисия за защита на личните данни произнася оспореното пред административния съд решение.

С решението си Комисията: 1. Обявява жалба с рег. № ППН-01-949/23.11.2018г., подадена от А. Л. срещу Фондация „Надежда“ Център за обществена подкрепа „Бъдеще“ за неоснователна по отношение и на двете твърдения-за обработване на лични данни без правно основание и за непредоставяне на информация по чл. 14 от Регламент (ЕС) 2016/679, предвид установеното нормативно задължение за обработване на лични данни и задължението, което произтича от договор за Фондация „Надежда“ и Център за обществена подкрепа „Бъдеще“, при спазване на разпоредбата на чл. 6, § 1, б. „б“ и „в“ от Регламент (ЕС) 2016/679 и предвид факта, че за администраторите не е имало задължение по ЗЗЛД (отм.) за посочване на длъжностно лице по защита на данните; 2. Обявява жалба с рег. № ППН-01-949/23.11.2018г., подадена от А. Л., за основателна по отношение на Агенция за социално подпомагане за нарушение на разпоредбата на чл. 5, § 1, б. „а“ от Регламент (ЕС) 2016/679; 3. Във връзка с т. 2 и на основание чл. 58, § 2, б. „г“ от Регламент (ЕС) 2016/679 разпорежда на Агенция социално подпомагане да съобрази операциите по обработване на личните данни с разпоредбите на Регламента.

От правна страна, решаващият съд приема, че обжалваното решение на КЗЛД е издадено от компетентен орган, като правомощията на комисията произтичат от разпоредбите на чл. 10 и чл. 10а от ЗЗЛД, съответно от чл. 57 и чл. 58 от Регламент (ЕС) 2016/679 във вр. с чл. 38 от ЗЗЛД, в предписаната от закона форма, но при постановяването му са допуснати съществени нарушения на административнопроизводствените правила, и е произнесено в нарушение на материалноправните разпоредби.

В съдебния акт е посочено, че разпоредбите на Регламент (ЕС) 2016/679 се прилагат от 25.05.2018г., от която дата е действащо право в държавите членки на Европейския съюз. По делото обаче е установено, че А. Л. сезира КЗЛД с жалба срещу Фондация „Надежда“-ЦОП- „Бъдеще“ за нарушение при обработване на нейните и на детето й лични данни по повод изготвения от центъра заключителен доклад за резултати от предоставяне на социална услуга с изх. № 150/02.05.2018г. Заключителният доклад е изготвен на база на социален доклад на социален работник в Дирекция „Социално подпомагане“-Красно село под № ДП/Д-С-КС/14-001/18.01.2018г. При това положение решаващият съд приема, че преценката за наличие на нарушение в обработването на личните данни на Лилкова и детето Б. М., съответно на приложимите материалноправни норми следва да бъде направена към датата на съставяне на социалния доклад от Дирекция „Социално подпомагане“-Красно село. При положителен отговор на този въпрос се дължи проверка за съставомерност на деянието съобразно разпоредбите на регламента.

Изложени са мотиви, че анализът на действащите към 18.01.2018г. материалноправни разпоредби на ЗЗЛД, които дават определение на лични данни (чл. 2, ал. 1), на администратор на лични данни (чл. 3) и на условията за допустимост на обработването на личните данни (чл. 4), налага извод, че в разглеждания случай не Агенция за социално подпомагане, а Дирекция „Социално подпомагане“-Красно село е администратор на лични данни. Посочено е, че именно дирекцията е специализираният орган за провеждане на политиката за закрила на детето в общината съгласно чл. 20, ал. 1 от Закона за закрила на детето. След като приетото от Комисията нарушение е извършено при изготвяне на социалния доклад от 18.01.2018г. от социален работник в Дирекция „Социално подпомагане“-Красно село, конституирането на Агенцията представлява съществено нарушение на процесуалните правила, което е основание за отмяна на административния акт в оспорените му части. Съдът намира, че неправилно са тълкувани относимите към предоставяне на социална услуга за психологическа подкрепа и консултиране на родител-чл. 23 от Закона за закрила на детето и чл. 18 от Правилника за прилагане на Закона за закрила на детето, и е направен извод, че молбата за предоставянето й следва да бъде подадена от двамата родители. Неправилно според съда е и разсъждението на административния орган относно необходимостта и обема на предоставените лични данни, които се свеждат до тези на лицето, за което се отнася услугата. Изложеното според първоинстанционния съд е в нарушение и на материалния закон при издаване на решението на КЗЛД.

Решението е правилно.

Следва да бъдат подкрепени изводите на съда относно наличие на основанията по чл. 146, т. 3 и 4 от АПК за отмяна на обжалваното решение на КЗЛД в оспорените части. Правилно съдът приема, че то е издадено от компетентен административен орган, при спазване на изискванията за форма, но в нарушение на административнопроизводствените правила и на материалния закон, което налага отмяната на акта и връщането на административната преписка на Комисията за ново разглеждане на жалбата на А. Л. за нарушение при обработване на личните й данни и тези на малолетното дете Б. М. по повод поискана от бащата Й. М. социална услуга.

При преценката на приложимите материалноправни норми КЗЛД следва да вземе предвид, че е сезирана с жалба за извършено нарушение, осъществено преди влизане в сила на Регламент 2016/679, поради което правилно е прието от решаващия съд, че при съобразяване на съдържанието на административния акт при новото произнасяне следва да бъдат обсъдени приложимите нормативни разпоредби на Закона за защита на личните данни към момента на деянието, не на Регламента. На Регламента не е придадено обратно действие, поради което възраженията на касатора, че приложимостта на нормите следва да бъдат преценявани към датата на произнасянето на органа са неоснователни. В противен случай, Комисията следва да изложи убедителни мотиви, основани на съответните правни норми защо счита, че нарушението продължава и след 18.05.2018г., за да приложи Регламента.

Възражението на касатора, че е неправилен извода на административния съд за допуснато съществено нарушение административната процедура при конституиране на страните в производството пред КЗЛД е неоснователно, със следните допълнителни съображения. Определянето на администратора на личните данни в конкретния случай следва да бъде направено след собствен анализ от страна на Комисията на приложимата към това понятие нормативна уредба и мотивиране на акта в тази насока.

Легалното определение на администратор на лични данни е дадено в чл. 3, ал. 1 и ал. 2 от ЗЗЛД (отм.), като ал. 3 на чл. 3 регламентира, че администраторът на лични данни обработва личните данни самостоятелно или чрез възлагане на обработващ данните. Според легалната дефиниция на § 1, т. 3 ЗЗЛД (изм.) обработващ лични данни е физическо или юридическо лице, държавен орган или орган на местно самоуправление, който обработва лични данни от името на администратора на лични данни.

Няма законова пречка един и същи правен субект да действа в различни ситуации като администратор на лични данни и като обработващ лични данни, с произтичащите последици при всяка от тях.

Ето защо при новото разглеждане на административната преписка Комисията за защита на личните данни следва да посочи дали тази правна уредба посочва конкретно и еднозначно кой е администраторът в разглеждания случай, като държи сметка за организационната структура на Агенция за социално подпомагане, включително организацията за защита на личните данни както на Агенцията, така и на структурните й звена по чл. 11 от Устройствения правилник на Агенцията за социално подпомагане.

По изложените съображения обжалваното решение като правилно следва да бъде потвърдено с настоящото.

Предвид изхода на спора на Комисия за защита на личните данни следва да заплати на ответната страна-Агенция за социално подпомагане разноски по делото-100 лева, представляващи юрисконсултско възнаграждение.

Воден от горното, Върховният административен съд, тричленен състав на Пето отделение

РЕШИ:

ОСТАВЯ В СИЛА решение № 4258/29.07.2020г., постановено по адм. д. № 13679/2019г. по описа на Административен съд София-град (АССГ).

ОСЪЖДА Комисия за защита на личните данни да заплати на Агенция за социално подпомагане разноски по делото в размер на 100 (сто) лева юрисконсултско възнаграждение.

Решението е окончателно.

Вярно с оригинала, ПРЕДСЕДАТЕЛ:/п/ Виолета Главинова

секретар: ЧЛЕНОВЕ:/п/ Галина Карагьозова

/п/ Юлия Ковачева