Р Е Ш Е Н И Е
№ 1957/2.11.2020г.
гр. Пловдив, 02,11, 2020 година
В ИМЕТО НА НАРОДА
Административен съд – Пловдив, Първо отделение, V състав, в открито съдебно заседание на 07,10,2020 година в състав:
ПРЕДСЕДАТЕЛ: СТОИЛ БОТЕВ
при секретаря В. К.и прокурор Данаила Станкова, като разгледа докладваното от съдия Ботев адм. дело № 3132 по описа на съда за 2019 г., за да се произнесе, взе предвид следното:
Производството е по реда на чл. 145 – 178 от Администратинтопроцесуалния кодекс /АПК/ във връзка с чл. 38, ал. 7 от Закона за защита на личните данни /ЗЗЛД/.
Жалбоподателят – „Хайков“ ЕООД, ЕИК *********, с адрес на управление: гр.Пловдив, ж.к. „Тракия“ бл.143, вх.А, ет.3, ап.5, представлявано от управителя К.И.Х.чрез адв.С.Б. обжалва Решение № ППН-0-194/2018 г. от 27.09.2019 г. на Комисия за защита на личните данни, в частта по т.2, с което е обявена жалба peг. № ППН-01-194/28.03.2018 г., подадена от Х.С.И., за основателна по отношение само на „Хайков" ЕООД за нарушение на чл. 4, ал.1 от ЗЗЛД (приложима редакция ДВ, бр. 91 от 2006г.), което съответства на чл. 6, параграф 1 от Регламент 2016/679 и в частта по т.3, с което на основание чл.58, параграф 2, буква „и“ от Регламент 2016/679 във връзка с чл.83, параграф 5, буква „а“ на „Хайков“ е наложено административно наказание „имуществена санкция“ в размер на 50 000 лв.
Според дружеството-жалбоподател административният акт е нищожен и неправилен, постановен при грубо нарушаване на административно-процесуалните правила, в нарушение на материалния закон и несъобразен с целта на ЗЗЛД и Регламент 2016/679. Твърди се, че решението е постановено от незаконен състав на КЗЛД. Навеждат се доводи, че комисията не е събрала всички доказателства за изясняване на фактите и обстоятелствата от значение за спора и е направила погрешен анализ на фактите, което е довело до неправилно приложение на материалния закон. Изразено е несъгласие с изводът на ответния орган, че „Хайков“ ЕООД е администратор на лични данни и че не е предприел необходимите технически и организационни мерки за да защити личните данни. В тази връзка се твърди, че екранната разпечатка от системата на „БТК“ ЕАД не би могла да установи нито кой е въвел информацията в системата, нито въз основа на какво основание, както и че не са събрани доказателства дали е имало телефонен разговор въз основа на който мобилния оператор е активирал услугата. Изложено е твърдение, че процедурата въведена от БТК ЕАД е порочна и незащитена, доколкото регистрацията на картата се извършва с обаждане по телефона от продавача на предплатената карта на мобилния оператор, чийто служител въвежда в електронната система кода на обекта (физически магазин). Според жалбоподателя неговите служители нямат достъп до този код, доколкото същият е предаден в запечатан плик на „СИЛВИ 2017“ ООД. Несъгласие е изложено и по отношение на извода на органа, че регистрираните от „Хайков“ ЕООД обекти, които предлагат предплатени карти за крайни потребители, регистрират SIM картите от негово име, тъй като обектите регистрират предплатените карти от тяхно име и за собствена сметка. Твърди се, че „Хайков“ ЕООД е само посредник при продажбата на сим карти между мобилния оператор и магазините на дребно и не е администратор на лични данни. Допълнително е изложено, че дори и да се приеме, че е извършено нарушение, то в оспорения административен акт не е посочено коя точка на чл.4 ал.1 от ЗЗЛД е нарушена. Посочено е, че към 12.12.2017г. Регламент 2016/679 не е бил действащ. Отделно от това е посочено, че в решението не са изложени мотиви за размера на наложената санкция, както и че не са взети предвид смекчаващи и отегчаващи отговорността обстоятелства. Твърди се, че налагането на санкция в размер на 50 000 лв. не само че вероятно би довела до изпадане на дружеството в несъстоятелност, но и не съответства на целите на ЗЗЛД и Регламент 2016/679, където е посочено, че санкцията няма за цел да води до затруднения. Иска се отмяна на оспореното решение и присъждане на направените разноски. Допълнителни съображения са изложени в депозирана писмена защита.
Ответникът - Комисия за защита на личните данни, в съдебно заседание не изпраща представител. В постъпили по делото писмени становища от 18.12.2019г. и 02.10.2020г. на процесуалния представител ст.юриск.А., са изложени съображения за неоснователност на жалбата. Прави се възражение за прекомерност на адвокатското възнаграждение.
Прокурор от ОП – Пловдив изразява становище за неоснователност на жалбата.
Видно от приложеното на лист 33 гръб по делото известие за доставяне, оспореното решение е връчено на процесуален представител на дружеството на 30.09.2019г., а жалбата е подадена на 14.10.2019г. директно в Административен съд – Пловдив, следователно е подадена в срока по чл. 149 от АПК от надлежна страна с правен интерес от обжалване, поради което е допустима. Разгледана по същество е основателна.
По отношение на направеното от страна на ответника възражение за местна подсъдност, съдът се е произнесъл с протоколно определение от 19.12.2019г.
От фактическа страна съдът приема за установено, следното:
Няма спор между страните по делото, че между „Хайков“ ЕООД и „БТК“ ЕАД има сключен договор за препродажба на карти за предоставяне на предплатени услуги. Няма спор и че на 12.12.2017г. в системата на „БТК“ ЕАД са активирани 8 предплатени SIM карти на името на Х.И..
Административното производство е образувано по жалба рег.№ ППН-01-194/28.03.2018г. (лист 148), подадена от Х.С.И., с която той е сезирал КЗЛД за незаконосъобразно обработване на личните му данни. В жалбата си И. посочва, че на 22.03.2018г. получил поредната призовка за явяване в качеството на свидетел по поредното досъдебно производство от ОД на МВР – Силистра и след приключване на разпита посетил мобилния оператор „В.“, където установил, че освен домашния телефон и телевизия, които използва, на негово име има регистрирани 8 предплатени карти, които никога не бил закупувал и използвал. Посочено е, че от магазина не му дали никакво обяснение кой ги е продал, на кого и срещу какъв документ, откъдето И. стигнал до извода, че има злоупотреба с личните му данни. Към жалбата били приложени призовки и разпечатка на телефонните номера (лист 148 гръб и лист 149).
На 02.04.2018г. представител на БТК е изпратил електронно съобщение по електронната поща на „Хайков“ ЕООД с искане да бъдат предоставени формите за регистрация на клиента Х. И. (разпечатка лист 146).
С писмо от 27.07.2018г. (лист 147), дружеството „БТК“ ЕАД е уведомено за жалбата, като е предоставена възможност да депозира становище и да представи доказателства в 7-дневен срок от получаване на писмото. В отговор на това, от „БТК“ ЕАД е представено становище (лист 133 и сл.), в което е посочено, че на 12.12.2017г. в системата на дружеството са активирани 8 предплатени карти на името на Х.С.И.. Активацията е извършена от представител на „Хайков“ ЕООД, с което дружество БТК има сключен договор за препродажба на карти за предоставяне на предплатени услуги, приложен и приет като доказателство. Със становището са представени 8 броя екранни разпечатки на информация за активацията на предплатените карти (лист 142-145). В становището е посочено още, че съгласно договора между „БТК“ ЕАД и „Хайков“ ЕООД последното дружество има задължение да извършва регистрация на предплатени карти при определени правила и да предава оригиналите на заявленията в определен срок, като в конкретния случай според БТК това не било изпълнено.
От страна на КЗД до „Хайков“ ЕООД е изпратено писмо (лист 131), с което дружеството е уведомено за образуваното производство, и му е предоставена възможност за становище в срок и представяне на доказателства. В отговор на това от дружеството „Хайков“ ЕООД е изпратено становище до КЗЛД, в което е посочено, че „Хайков“ ЕООД е единствено посредник между БТК и търговски обекти и не обслужва крайни клиенти. Изложено е, че дружеството регистрира тези обекти като места, където могат да се закупят предплатени карти като мобилният оператор давал оторизиран код за регистрация, с който съответният търговски обект може да извършва регистрация на предплатените сим-карти. Посочено е, че за„Хайков“ ЕООД не възниква задължение да сверява данни от документ за самоличност и предоставени данни. В становището се обсъжда и са приложени договори с „Мобилтел“ АД.
От страна на КЗД отново е изпратено писмо до „Хайков“ ЕООД (лист 121), с което дружеството е уведомено, че в постъпилото становище обсъжда взаимоотношения с друг мобилен оператор, а не с „БТК“ ЕАД и отново е даден срок за становище и представяне на доказателства. В отговор на това „Хайков“ ЕООД е депозирал становище с рег.№ ППН-01-194#6/31.07.2018г., в което отново е посочено, че „Хайков“ ЕООД е единствено посредник между БТК и търговски обекти и не обслужва крайни клиенти. Изложено е, че дружеството регистрира тези обекти като места, където могат да се закупят предплатени карти като мобилният оператор давал оторизиран код за регистрация, с който съответният търговски обект може да извършва регистрация на предплатените сим-карти. Посочено е още, че администраторът на лични данни БТК е отговорен за защитата на системата за обработване на лични данни, тъй като не е разписала достатъчно ефективна процедура за защита на личните данни.
На проведено заседание на КЗЛД на 23.01.2019г. (протокол лист 105-107), жалбата на Х.И.е обявена за допустима, а като ответни страни по жалбата му са конституирани „БТК“н ЕАД и „Хайков“ ЕООД. Разглеждането на жалбата по същество е насрочено за 06.03.2019г., за което страните са надлежно уведомени, като в тази връзка по делото са приложени известия за доставяне (лист 102 гръб – лист 104 гръб).
Дружеството „Хайков“ ЕООД е входирало на 06.03.2018г. становище, в което е посочено, че „Хайков“ ЕООД не е регистрирало процесните сим карти на името на Х. И., както и че БТК ЕАД действа като администратор на лични данни в процедурата по регистрация на сим карти на потребители. Изложено е, че „Хайков“ ЕООД няма търговски обект в района на гр.Силистра, нито негов служител е извършил регистрация на процесните сим карти. Твърди се, че в обектите на „Хайков“ ЕООД физически не са подавани заявления за регистрация на името на И. и не са изпращани такива заявления към БТК ЕАД. В становището е посочено още, че потребителят може да подаде заявление за регистрация на предплатена сим карта във всеки един обект на БТК или в обект на партньор, а може и по телефон от оператор на БТК.
На 06.03.2019г. е проведеното открито заседание на КЗЛД (лист 91 и сл.), на което е присъствал представител на „БТК“ ЕАД – В.Й., която е представила имейл кореспонденция, с която на 15.03.2017г. „Хайков“ ЕООД е изпратил списък с оторизираните от него обекти сред които и „СИЛВИ 2017“ (лист 83). Представена е и инструкция за регистрация на предплатени карти (лист 83 гръб по делото). Й. изрично е посочила, че на тези дилъри БТК издава кодове, чрез които те могат да достъпват приложението за регистрация на предплатени карти и изрично е посочила, че за „СИЛВИ 2017“ кодът е 1201010, като кодовете са издадени на „Хайков“ ЕООД и той ги предава на отделните обекти. Й. заявява, че кодовете са персонализирани за отделните обекти, като този код може да се види от справките от които се вижда от кой обект е извършена продажбата. Й. е описала начина на предоставяне на всички регистрационни форми, и е посочила, че за обекта на „СИЛВИ 2017“ са спрели достъпа на кода им поради сигнали за злоупотреба от тяхна страна. След въпроси на членовете на комисията Й. е посочила, че само с дадения код и с паролата дадена на дистрибутора може да се влезе в приложението за регистрация на съответната карта, като „Хайков“ ЕООД няма достъп до тези кодове, а с тях могат да влизат само неговите обекти, неговите партньори. С това заседание КЗЛД е конституирала като страна в производството „СИЛВИ 2017“ ООД и е насрочено открито заседание за 27.03.2019г., за което страните са надлежно уведомени, като в тази връзка по делото са приложени известия за доставяне (лист 77 гръб – лист 80 гръб).
От страна на „БТК“ ЕАД е изпратено становище до КЗЛД (лист 76), в което е посочено, че обектът на „СИЛВИ 2017“ ООД регистрира предплатени карти само с обаждания по телефона за обслужване на клиенти и по този начин са регистрирани процесните 8 сим карти на името на И., като обаждането е осъществено на 12.12.2017г., като представител на обекта се е оторизирал с кода на обекта 1201010 и е продиктувал данните на потребителя. В становището категорично е заявено, че представител на дилъра е извършил регистрацията на предплатените карти на И.. На лист 75 по делото е приложен диск със запис на телефонния разговор от регистрацията на 8 бр.сим карти на името на Х.И..
От страна на „Хайков“ ЕООД е изпратено становище до КЗЛД (лист 71), в което е посочено, че дружеството не е обработвало лични данни на Х.И.. Оспорено е като недействително Допълнително споразумение №1 от 01.01.2010г., като антидатирано и е оспорено представител на „Хайков“ ЕООД да е подписвал или да се е съгласявал с условията в Инструкция за регистрация и активация на предплатени услуги, която е приета на 30.03.2017г..
На проведеното на 27.03.2019г. е проведено заседание на КЗЛД в състав В.К., Ц.С.и В.Ц., на което е взето решение за основателност на жалбата по отношение на „Хайков“ ЕООД и „СИЛВИ 2017“ ООД и прилагане на мерки по чл.58, § 2, б.“и“ от Общия регламент за защита на данните.
Решението на комисията е обективирано в оспорения административен акт.
От трети неучастващи по делото лица са представени, както следва:
-от „БТК“ АД е постъпило становище, в което е посочено, че обектите в които се извършва регистрация на предплатени сим карти се създават само и единствено от БТК по предварително изпратен списък от дилъра (в случая „Хайков“ ЕООД); създадените кодове се предоставят на представител на дилъра; дилърът носи отговорност за конфиденциалност на предоставената информация за създадените кодове на обектите. Описан е и начина на предаване на сим картите. По делото са представени разпечатки на имейли; приемо-предавателен протокол и становище от „Еконт Експрес“ ЕООД заедно с разпечатка за данни от тварителница (лист 171 и сл.).
-от „СИЛВИ 2017“ ООД е представено становище (лист 190), в което е посочено, че на датата на твърдяното нарушение служител на „СИЛВИ 2017“ ООД не е регистрирало предплатена карта на Х. И. посредством обаждане по телефона и не разполагат с регистрационната форма, която да представят на съда.
Ответникът е представил Решение № 4256/29.07.2020г. по адм.д.№ 12677/2019г. на АССГ, с което е отхвърлена жалбата на „СИЛВИ 2017“ ООД срещу оспорения в настоящото производство административен акт.
При така установените факти, съдът достигна до следните правни изводи:
Съгласно чл. 168 от АПК във връзка с чл. 142 от АПК, съдът проверява законосъобразността на оспорения акт към момента на издаването му на всички основания по чл. 146 от АПК, без да се ограничава само с тези, посочени от оспорващия. Необходимо е да са налице, в тяхната съвкупност, всички изисквания за валидност на административния акт, а именно: да е издаден от компетентен орган, в изискуемата форма, при спазване на административно-производствените правила, да не противоречи на материално - правните разпоредби и да съответства на целта на закона.
На първо място е необходимо да се отбележи, че предмет на спора е Решение № ППН-0-194/2018 г. от 27.09.2019 г. на Комисия за защита на личните данни, в частта по т.2, с което е обявена жалба peг. № ППН-01-194/28.03.2018 г., подадена от Х.С.И., за основателна, но само по отношение само на „Хайков" ЕООД за нарушение на чл. 4, ал.1 от ЗЗЛД (приложима редакция ДВ, бр. 91 от 2006г.), което съответства на чл. 6, параграф 1 от Регламент 2016/679; и в частта по т.3, с което на основание чл.58, параграф 2, буква „и“ от Регламент 2016/679 във връзка с чл.83, параграф 5, буква „а“ на „Хайков“ е наложено административно наказание „имуществена санкция“ в размер на 50 000 лв. Макар т.2 от диспозитива на оспорения административен акт да засяга две дружества „Хайков" ЕООД и „СИЛВИ 2017“ ООД, то доколкото жалбоподател в настоящото производство е само „Хайков" ЕООД, тази т.2 ще бъде разгледана само по отношение на жалбоподателя.
Съгласно чл.10, ал.1 от ЗЗЛД, комисията изпълнява задачите по чл. 57 от Регламент (ЕС) 2016/679, сред които са и да разглежда жалбите, подадени от субект на данни или от структура, организация или сдружение в съответствие с член 80, и разследва предмета на жалбата, доколкото това е целесъобразно, и информира жалбоподателя за напредъка и резултатите от разследването в разумен срок, особено ако е необходимо по-нататъшно разследване или координиране с друг надзорен орган (чл.57, пар.1, б.“е“).
При сезиране по чл.38, ал.1 ЗЗЛД във връзка с чл.28, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /ПДКЗЛДНА/, издаден на основание чл.9, ал.2 от ЗЗЛД, се стартира производство пред КЗЛД. Съгласно чл.6, ал.1 от ЗЗЛД компетентен да се произнесе по процедурата административен орган е КЗЛД – постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на този закон.
На основание чл.9, ал.4 във връзка с ал.3 от ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й при проведено открито заседание, при наличие на кворум по чл.8, ал.6 и мнозинство по чл.8, ал.7 от ПДКЗЛДНА. В случая Решението е взето на 27 март 2019г. единодушно от присъствалите 3 бр. членове на КЗЛД (лист 70-гласуването), при разглеждане на т. 5 от Протокол № 15/27.03.2019г. Единият от тримата членове е председателя на КЗЛД – В.К.. Поради изложеното съдът счита, че оспореното решение е взето от законен състав.
Тъй като в ЗЗЛД липсва изрична разпоредба за формата и съдържанието на решението, приложение следва да намери чл.59 от АПК. В случая Решението е в изискуемата писмена форма по чл.59, ал.1 от АПК, като съдържа задължителните реквизити по чл.59, ал.2 от АПК, включително и подписите на лицата, участвали в гласуването.
При постановяване на оспорения акт обаче са допуснати нарушения на административнопроизводствените правила, които съдът квалифицира като съществени.
Производството е започнало по писмено искане на физическо лице, съдържащо оплакване за нарушаване правата му по ЗЗЛД, т.е. искането е от компетентността на комисията, разпределено е на съответната дирекция за изготвяне на становище по допустимостта и основателността, конституирани са ответни страни, изискани са становища на лицата, срещу които е подадена жалбата за нарушаване на правилата за обработване и съхраняване на лични данни, страните са уведомени за насроченото отрито заседание за разглеждане на жалбата по същество, като им е дадена възможност да се запознаят със събраните по преписката доказателства и да изразят становище по тях. При произнасяне по съществото на спора са обсъдени представените по преписката писмени доказателства, както и изразените становища по отправените в жалбата твърдения. Правото на защита на дружеството жалбоподател, редовно уведомено за откритите заседания пред КЗЛД не е ограничено, тъй като е гарантирано тяхното участие в административното производство, а последното е проведено в съответствие със специалните разпоредби на ЗЗЛД, чл.34 и следващите от АПК и принципите на процеса в АПК- принципите равенство, достъпност, публичност и прозрачност. Въпреки това, настоящата инстанция намира, че решението е издадено без да са изяснени фактите и обстоятелствата от значение за случая. В нарушение на чл. 35 от АПК административният орган е приел, че „Хайков" ЕООД следва да отговаря за нарушението по чл.4 ал.1 от ЗЗЛД (в приложимата редакция), съответстващо на чл. 6, параграф 1 от Регламент 2016/679, спрямо личните данни на Х.И., без да изясни въпросът дали това дружество има качеството на администратор на лични данни. Това нарушение в случая е съществено, доколкото изясняването му би довело до извод за налагане или не на административно наказание на „Хайков" ЕООД .
Съгласно чл.2, ал.1 от ЗЗЛД в приложимата редакция (доп., бр. 81 от 2011 г.), лични данни са всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Според ал.2 на същата разпоредба, личните данни трябва да: 1. се обработват законосъобразно и добросъвестно; 2. се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; допълнително обработване на личните данни за исторически, статистически или научни цели е допустимо, при условие че администраторът осигури подходяща защита, като гарантира, че данните не се обработват за други цели с изключение на случаите, изрично предвидени в този закон; 3. бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват; 4. бъдат точни и при необходимост да се актуализират; 5. се заличават или коригират, когато се установи, че са неточни или непропорционални по отношение на целите, за които се обработват; 6. се поддържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни се обработват; личните данни, които ще се съхраняват за по-дълъг период за исторически, статистически или научни цели, се поддържат във вид, непозволяващ идентифицирането на физическите лица. Съгласно чл.4, ал.1 от ЗЗЛД (в приложимата редакция преди отмяната й), обработването на лични данни е допустимо само в случаите, когато е налице поне едно от следните условия: 1. обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни; 2. физическото лице, за което се отнасят данните, е дало изрично своето съгласие; 3. обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане; 4. обработването е необходимо, за да се защитят животът и здравето на физическото лице, за което се отнасят данните; 5. обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес; 6. обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните; 7. обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните.
Легална дефиниция на понятието "обработване на лични данни" е дадено в според дефиницията на § 1, т.1 от ДР на ЗЗЛД (в редакцията изм. и доп. - ДВ, бр. 91 от 2006 г.) и това е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.
Доколкото в мотивите и диспозитива на оспореното решение е посочена и разпоредбата на чл. 6, параграф 1 от Регламент 2016/679, следва да се посочи, че съгласно тази норма, обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Предвид факта, че крайната продажба на процесните 8 броя предплатени SIM карти активирани на името на Х.И.е в резултат на търговските взаимоотношения на три дружества, а именно „БТК“ ЕАД, „ХАЙКОВ“ ЕООД и „СИЛВИ 2017“ ООД, за настоящия съд е необходимо да се изследва действията на всяко едно от тях.
Както бе посочено по-горе в мотивите на настоящото решение между БТК и „Хайков“ ЕООД е сключен договор № 27834/01.06.2010г. по силата, на който мобилният оператор продава на „Хайков“ ЕООД карти за предплатени мобилни услуги, които „Хайков“ ЕООД продава на крайни клиенти и/или на други турговци. По силата на този договор „Хайков“ ЕООД предоставя на БТК информация за броя и местонахождението на предоставените му от БТК карти, като няма спор, че „Хайков“ ЕООД е предоставило на БТК по електронна поща списък с такива обекти, сред които и дружеството „СИЛВИ 2017“ ООД като обект, който може да извършва регистрация на предплатени карти. Няма спор, че между обектите, които могат да регистрират предплатени карти и БТК няма сключен отделен договор, уреждащ отношенията помежду им, като кодовете и привръзките им с конкретните обекти се изпращат на дилъра, с когото БТК има сключен договор – в случая жалбоподателя „Хайков“ ЕООД. Видно от представените в хода на административното производство справки (лист 142-145), 8-те броя сим карти на името на Х.И.са активирани от „СИЛВИ 2017“ ООД, който е с код 1201010 с дистрибутор „Хайков“ ЕООД. Това е категорично заявено и в проведеното заседание на КЗЛД на 06.03.2019г. от представителя на БТК ЕАД.
Отделно от това в представения по преписката запис на телефонен разговор от 12.12.2017г. за регистриране на процесните 8 броя сим карти, се установява, че лице с женски глас, без да се представя (имената си) се е оторизирало с кода на обекта 1201010 (така на 2мин. и 30 сек. от записа) и е продиктувало данните на потребителя. Тук е мястото да се отбележи, че в становище до КЗЛД, от БТК ЕАД категорично е заявено, че представителят на дилъра „СИЛВИ 2017“ ООД е извършил регистрацията на предплатените карти в БТК ЕАД на името на И..
В тази връзка следва да се посочи, че в оспореното решение съставът на КЗЛД не се е произнесъл по отношение на оспорването на Допълнителното споразумение между БТК ЕАД и „Хайков“ ЕООД, както и по отношение на това дали е приложима Инструкцията за регистрация и активация на предплатените услуги през партньорската мрежа на VIVACOM. Произнасянето по тези въпроси би довело до отговор на въпросът - имал ли е задължение дилърът „Хайков“ ЕООД да получи от „СИЛВИ 2017“ ООД регистрационните форми и съответно да ги предаде на БТК ЕАД. А отговорът на този въпрос ще доведе до извод дали „Хайков“ ЕООД има качеството на администратор на лични данни. Изобщо в хода на административното производство не е изследван въпросът дали такава регистрационна форма е предадена от „СИЛВИ 2017“ ООД на дружеството жалбоподател. В настоящия случай няма данни и не се твърди записване на номер на лична карта, на имена, адрес и ЕГН на лицето Х.И.от страна на „Хайков“ ЕООД. В нарушение на чл.35 от АПК, без да изясни фактите и обстоятелствата от значение за случая, ответния орган е постановил своя акт. Предвид това съдът намира, че е налице предпоставка за отмяна на решението на КЗЛД в оспорените му части.
За пълнота по отношение на оспореното решение в частта му по т.3, с което на основание чл.58, параграф 2, буква „и“ от Регламент 2016/679 във връзка с чл.83, параграф 5, буква „а“ на „Хайков“ е наложено административно наказание „имуществена санкция“ в размер на 50 000 лв., съдът намира за необходимо да отбележи, следното:
По силата на чл. 58, § 2, б. "и" от Регламент ЕС 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните /ОРЗД/), комисията като надзорен орган има корективно правомощие да налага административно наказание "глоба" или "имуществена санкция" съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай. Нормата на чл. 83, § 5, б. "а" от Регламент ЕС 2016/679 предвижда административно наказание "глоба" или "имуществена санкция" за нарушения на основните принципи за обработване на лични данни, включително условията, свързани с даването на съгласие, в съответствие с членове 5, 6, 7 и 9. Следователно, ако комисията е считала, че характерът и тежестта на констатираното нарушение са от естество да изискват едновременно налагане на корективна мярка и административно наказание, или само административно наказание, то същата е можела да предприеме съответните действия в изпълнение на предоставените й корективни правомощия, но за установеното нарушение на чл.4, ал.1 от ЗЗЛД (отм.); , респ. чл.6, §1 от Регламент ЕС 2016/679. В тази връзка следва да се подчертае, че на стр.5, последен абзац в оспореното решение изрично е посочено, следното: „За да се отчете съответствието на акта с материалния закон, в чл. 6, параграф 1 от приложимия към момента на произнасянето по жалбата Регламент 2016/679 са предвид условия за допустимост на обработването на личните данни, които са идентични по съдържание с тези по чл.4, ал. 1 (приложима редакция). С оглед изложеното, не е отпаднала отговорността при нарушаване на това изискване.“ (така и в т.2 от диспозитива на оспореното решение е посочено, че чл.4 ал.1 от ЗЗЛД в приложимата редакция ДВ, бр.91 от 2006г., съответства на чл.6 пар.1 от Регламент 2016/679). Комисията в случая е наложила административно наказание "имуществена санкция" за нарушение на чл.4, ал.1 от ЗЗЛД/ чл.6, §1 от Регламент ЕС 2016/679, за което каза се по-горе в настоящото решение в хода на административното производство не са събрани относими доказателства.
Нещо повече, Регламент (ЕС) 2016/679 на Европейския парламент и на съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /ОРЗД/, е действащ в Република България от 25.05.2018 г., съгласно чл. 99, т. 2 ОРЗД. Съгласно чл.288, § 2 от договора за функциониране на Европейския съюз /ЗФЕС/, регламентът е акт с общо приложение, той е задължителен в своята цялост и се прилага пряко във всички държави членки като не е необходимо транспонирането му във вътрешното право, тъй като регламентът става действащо право в държавата членка като част от автономното право на ЕС. С оглед това, независимо дали в съответната държава членка са предприети мерки в националното законодателство за прилагане разпоредбите на регламента, той поражда правно действие и следва да бъде съобразен от националните съдилища при постановяване на актовете им. Тъй като е приложимо право неговите разпоредби съответно са задължителни и се прилагат от административните органи.
В случая деянието е извършено на 12.12.2017 г. (когато са активирани 8 бр.предплатени сим карти на името на Х.И.и когато именно са обработени личните данни на това лице), и към този момент разпоредбите на Регламент (ЕС) 2016/679 не са били действащи. В действителност съобразно разпоредбата на чл. 142, ал.1 АПК съответствието на административния акт с материалния закон се преценява към момента на издаването му. Това не означава, че и квалификацията на нарушението и санкционната разпоредба се съобразяват с действащите към момента на издаване на акта материалноправни норми. Нарушен е основният принцип в административнонаказателното право (доколкото оспореното решение в частта на т.3 има санкционен характер), че за всяко административно нарушение се прилага нормативният акт, който е бил в сила по време на извършването му, а в случай, че до влизане в сила на санкционния акт последват различни нормативни разпоредби, прилага се онзи закон, който е по-благоприятен за нарушителя. В случая, действащ по време на извършване на процесното нарушение е чл.42, ал.1 от ЗЗЛД (в приложимата редакция ДВ, бр. 81/2011 г.), съгласно която норма за нарушения по чл.2, ал.2 и ал.3 и чл.4 администраторът на лични данни се наказва с глоба или с имуществена санкция от 10 000 (десет хиляди) до 100 000 (сто хиляди) лева. Както бе отбелязано по-горе в хода на административното производство и преди постановяване на процесното Решение е влязъл в сила Регламент (ЕС) 2016/679, който, считано от 25.05.2018 г. е действащ в Република България, относно обществените отношения, свързани със защитата на физическите лица при обработване на личните им данни. Регламентът обаче не е действащо право към момента на извършване на процесното нарушение - 12.12.2017 г., а освен това и предвидената в него уредба не е по-благоприятна за дееца що се отнася до нормативно установения размер на имуществената санкция за допуснато нарушение от категорията на процесното. Ето защо съдът счита, че решението на КЗЛД в частта по т.3 е постановено в нарушение на материалния закон, което е основание за неговата отмяна.
Що се отнася до приложеното от страна на ответника съдебно решение № 4256/29.07.2020г. по адм.д.№ 12677/2019г. на АССГ, с което е отхвърлена жалбата на „СИЛВИ 2017“ ООД срещу оспорения в настоящото производство административен акт, следва да се отбележи, на първо място, че тази съдебна практика не е задължителна за Пловдивски административен съд, тъй като задължителен характер относно тълкуването и приложението на правото имат единствено актовете на ВАС и ВКС, постановени на основание чл. 130 от ЗСВ и на второ място цитираното съдебно решение се отнася за друго дружество, а именно „СИЛВИ 2017“ ООД.
Предвид изложеното, съдът счита, че жалбата е основателна, и Решение № ППН-0-194/2018 г. от 27.09.2019 г. на Комисия за защита на личните данни следва да се отмени на като незаконосъобразно, в обжалваната част, а именно, в частта по т.2, с което е обявена жалба peг. № ППН-01-194/28.03.2018 г., подадена от Х.С.И., за основателна, но само по отношение на „Хайков" ЕООД за нарушение на чл. 4, ал.1 от ЗЗЛД (приложима редакция ДВ, бр. 91 от 2006г.), което съответства на чл. 6, параграф 1 от Регламент 2016/679 и в частта по т.3, с което на основание чл.58, параграф 2, буква „и“ от Регламент 2016/679 във връзка с чл.83, параграф 5, буква „а“ на „Хайков“ е наложено административно наказание „имуществена санкция“ в размер на 50 000 лв.
При този изход на делото и с оглед своевременно направеното искане на процесуалния представител на жалбоподателя, в полза на „Хайков“ ЕООД, следва да се присъдят разноски, които са претендирани в размер на 1000 лв. за адвокатско възнаграждение, за което са представени доказателства (на лист 191 по делото – договор за правна защита и съдействие от 10.10.2019г. и на лист 209-разписка за частично плащане по договор за правна защита и съдействие от 10.10.2019г.). По отношение на възражението на ответната страна за прекомерност на заплатеното от жалбоподателя адвокатско възнаграждение, следва да се отбележи, че делото е с определен материален интерес относно наложената имуществена санкция в размер на 50 000 лв. Минималния хонорар съгласно чл.8 ал.1 т. 3 от Наредба № 1 от 9.07.2004 г. за минималните размери на адвокатските възнаграждения е 2030 лв., а заплатения от оспорващия хонорар в размер на 1000 лв. дори не надвишава минималния предвиден, следователно не е прекомерен.
По изложените съображения, съдът
Р Е Ш И:
ОТМЕНЯ по жалба на „Хайков“ ЕООД, ЕИК *********, с адрес на управление: гр.Пловдив, ж.к. „Тракия“ бл.143, вх.А, ет.3, ап.5, представлявано от управителя К.И.Х.чрез адв.С.Б., Решение № ППН-0-194/2018 г. от 27.09.2019 г. на Комисия за защита на личните данни, в частта по т.2, с което е обявена жалба peг. № ППН-01-194/28.03.2018 г., подадена от Х.С.И., за основателна по отношение само на „Хайков" ЕООД за нарушение на чл. 4, ал.1 от ЗЗЛД (приложима редакция ДВ, бр. 91 от 2006г.), което съответства на чл. 6, параграф 1 от Регламент 2016/679 и в частта по т.3, с което на основание чл.58, параграф 2, буква „и“ от Регламент 2016/679 във връзка с чл.83, параграф 5, буква „а“ на „Хайков“ е наложено административно наказание „имуществена санкция“ в размер на 50 000 лв.
ОСЪЖДА Комисия за защита на личните данни да заплати на „Хайков“ ЕООД, ЕИК *********, с адрес на управление: гр.Пловдив, ж.к. „Тракия“ бл.143, вх.А, ет.3, ап.5, представлявано от управителя К.И.Х., сумата в размер на 1000 (хиляда) лева – разноски по делото.
Решението подлежи на обжалване пред Върховния административен съд на Р. България в 14-дневен срок от съобщаването.
ПРЕДСЕДАТЕЛ: