№ _________
гр. Варна _____________ 2021г.
В ИМЕТО
НА НАРОДА
Варненският
административен съд, VІІІ – ми състав, в публичното заседание на седми декември две
хиляди двадесет и първа година в състав:
Административен съдия: ИСКРЕНА ДИМИТРОВА
при секретаря Светлана Стоянова, като разгледа
докладваното от
съдията Искрена Димитрова адм. дело № 1863 на Административен съд - Варна
по описа за 2021 год., за да се
произнесе, взе предвид
Производството е по реда
на чл.38в, ал.4 от Закона за защита на личните данни /ЗЗЛД/, вр.чл.145 и сл. от
Административнопроцесуалния кодекс /АПК/.
Образувано
е по жалба на Н.А.Н., ЕГН: **********,***, против Решение № ЛДЖ-21-13/26.07.2021г. на инспектор в Инспекторат към
Висшия съдебен съвет /ИВСС/, с което на основание чл.38в, ал.4 от ЗЗЛД е
отхвърлена жалбата му вх.№ 1300/10.06.2021г., вх. рег.№ ЛДЖ-21-13/10.06.2021г. по описа
на ИВСС, срещу действията на Окръжен съд /ОС/ - Варна като администратор на
лични данни при публикуване на Определение № ****/07.06.2021г. по ч.гр.д. № ****/2021г.
по описа на ОС-Варна.
Жалбоподателят
твърди, че обжалваното решение е постановено при неправилно тълкуване и
приложение на материалния закон, т.к. неправилно е прието, че [публикуваните] данни не са достатъчни за да го
идентифицират. Иска отмяна на обжалваното решение и връщане на преписката на
ИВСС със задължителни указания за налагане на санкция или глоба. С уточняваща
молба С.д. № 13774/21.09.2021г. адв.Б.Б. – назначен за процесуален представител
на жалбоподателя на основание чл.26, ал.2 от Закона за правната помощ – сочи, че обжалваното решение е
постановено в противоречие с материалноправните разпоредби и е в несъответствие
с целта на закона. Позовава се на чл.4, т.1 от Регламент (ЕС) № 2016/679 и
твърди, че местонахождението на лицето се определя от неговият адрес и
установяването му на този адрес води до неговото идентифициране. Твърди и че
сочените в обжалваното решение „един или няколко признака“ се отнасят към
специфичните такива - за физическата, физиологичната, генетичната,
психическата, умствената, икономическата, културната или социалната
идентичност“, а не за „специалните“ като име, идентификационен номер, данни за
местонахождение, онлайн идентификатор. Сочи и че в обжалваното решение не било
коментирано обстоятелството защо Окръжен съд - Варна, след подадена жалба, е
публикувал повторно определението на 22.06.2021г., като е заличил информацията
за адреса на жалбоподателя.
В
съдебно заседание жалбоподателят се представлява от адв. Б., който поддържа
жалбата по направените уточнения по нея. Моли съдът да отмени решението и да
реши въпроса по същество, като приеме, че ОС-Варна, в качеството на
администратор на лични данни, е допуснал нарушение на правилата за защита на
личните данни по Регламент (ЕС) № 2016/679 и ЗЗЛД, като му наложи глоба или
санкция по чл.85 от ЗЗЛД. Ако съдът приеме, че естеството на въпроса не
позволява решаването му по същество – да изпрати преписката на ИВСС със
задължителни указания по тълкуването и прилагането на закона.
Ответната
страна, редовно призована на открито съдебно заседание, не се представлява и не
изразява становище по същество.
Заинтересованата
страна - Окръжен съд-Варна, оспорва жалбата. Сочи, че публикуването на
постановените от съдиите при ВОС съдебни актове се осъществява в изпълнение на
задължението по чл.64 от ЗСВ и по правилото на чл.23, т.6 и т.11 от Правилника
за администрацията в съдилищата, се организира от звено „Информационно
обслужване, статистика и информационни технологии“. На 01.07.2020г. във ОС -
Варна е внедрена Единна информационна система на съдилищата /ЕИСС/, след която
дата дела се образуват в електронна среда само и единствено в тази система.
Всички финализиращи съдебни актове, присъединени в ЕИСС в обезличени файлове,
се подават автоматично към Централен web базиран интерфейс за публикуване на
съдебни актове (ЦУБИПСА), който има публичен характер. Процесите са абсолютно
автоматизирани и не позволяват намеса от страна на потребители. При създадената
организация на работата в ОС-Варна, съдебните секретари обезличават протоколите
от открити съдебни заседания и съдебните актове, постановени в/след открито
съдебно заседание, а съдебните актове, постановени в закрито заседание, се
обезличават от съдебните деловодители, какъвто е случаят с Определение № ****/07.06.2021г.
по в.ч.гр.д.№****/2021г. Действията по обезличаване са извършени от съдебния
деловодител С. П., като процесът на публикуване на съдебния акт е станал
автоматично и е осъществен без намесата на служител от Окръжен съд-Варна.
Счита, че адресът съставлява информация, посредством която може да бъде
идентифицирано едно физическо лице, единствено когато е в съчетание с други
индивидуализиращи данни – имена, ЕГН, а в случая такава съвкупност от данни не
е налице. По изложените съображения моли жалбата да се отхвърли като
неоснователна.
След
преценка на събраните по делото доказателства, съдът приема за установено от
фактическа страна, следното:
Производството
пред ИВСС е започнало по жалба на Н.А.Н. с вх.рег.№ ЛДЖ-21-13/10.06.2021г., в която били
изложени твърдения за извършено от Окръжен съд-Варна, като администратор на
лични данни, нарушение на правилата на защита на личните данни при
публикуването на Определение № ****/07.06.2021г. по ч.гр.д. № ****/2021г.,
изразяващо се в това, че от съдържанието на определението не бил заличен
адресът на Н..
Във
връзка с постъпилата жалба, с писмо изх.№ ЛДЖ-21-13/15.06.2021г. от председателя
на Окръжен съд-Варна било изискано копие от Определение
№ ****/07.06.2021г. по ч.гр.д. № ****/2021г. – със съдържанието, с което на
основание чл.64, ал.1 от ЗСВ е публикувано в интернет на страницата на съда,
както и копие от Вътрешни правила или друг акт за публикуване на актовете на
ОС-Варна – ако са приети такива. Предоставена е и възможност за изразяване на
становище по жалбата на Н.Н..
С
писмо рег.№ ЛДЖ-21-13/28.06.2021г. председателят на Окръжен съд-Варна
представил копие от обезличения съдебен акт – Определение № ****/07.06.2021г.
по ч.гр.д. № ****/2021г., публикуван на 08.06.2021г., както и копие от същия
съдебен акт, публикуван на 22.06.2021г. Представено е и становище, според което
жалбата на Н. е неоснователна, т.к. адресът представлява информация,
посредством която може да бъде идентифицирано едно физическо лице, единствено
когато е в съчетание с други индивидуализиращи данни (имена, ЕГН), а в случая
такава съвкупност от данни не е налице, поради което и лицето не може да бъде
идентифицирано. В становището е посочено още, че е разпоредено обезличаване на
съдебните актове, включително в частта относно адресите, за да бъде гарантирана
в пълна степен личната сигурност, както на подателя на жалбата, така и на
всички останали лица. По изложените съображения е направено искане жалбата да
се отхвърли като неоснователна.
С
Решение № ЛДЖ-21-13/26.07.2021г. жалбата на Н. е отхвърлена като неоснователна.
Със същото е прието, че Окръжен съд-Варна е администратор на лични данни в
качеството си на публичен орган по смисъла на чл.4, т.7 от Регламент (ЕС)
2016/679 на Европейския парламент и на Съвета от 26 април 2016г. относно
защитата на физическите лица във връзка с обработването на лични данни и
относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО
(Общ регламент относно защитата на данните), който обработва самостоятелно
лични данни за целите на правораздавателната дейност, регламентирана в
Конституцията на РБ, Закона за съдебната власт, Гражданско-процесуалния кодекс
и други нормативни актове. От събраните доказателства е установено, че в
изпълнение на задължението по чл.64, ал.1 от ЗСВ, Определение № ****/07.06.2021г.
по ч.гр.д.№****/2021г. по описа на Окръжен съд-Варна, е било публикувано
първоначално на 08.06.2021г. без имена и ЕГН, но с информация за адрес – ****,
а впоследствие същото определение било повторно публикувано на 22.06.2021г. –
без информация за адрес. В контекста на дефиницията за „лични данни“ по чл.4,
т.1 от Регламент (ЕС) 2016/679 е прието, че за да бъде изпълнена тази хипотеза
е необходимо информацията, представляваща лични данни и отнасяща се до дадено
физическо лице, да води до неговото идентифициране – пряко или непряко, чрез идентификационен
номер или чрез един или повече специфични признаци. Изложени са съображения, че
не винаги посочването на един или няколко специфични признаци по отношение на
дадено физическо лице може да доведе до неговото идентифициране. За да бъде
осъществена индивидуализацията на [лицето] в обществото, следва да се посочат
един или няколко специфични признаци, въз основа на които да може да се направи
ясен и недвусмислен извод, че информацията относно посочените признаци се
отнася до точно конкретно лице. По изложените съображения е прието, че макар
посочването на адрес да има характер на лична информация за дадено лице, същата
не е достатъчна за да бъде то индивидуализирано. Макар в Определение № ****/07.06.2021г.
по ч.гр.д.№****/2021г. да е посочен адрес, той сам по себе си не е достатъчен
за индивидуализацията на жалбоподателя Н..
При
така установеното от фактическа страна, съдът прави следните правни изводи:
Жалбата е подадена от
надлежна страна, срещу подлежащ на оспорване административен акт, в срока по
чл.149, ал.1 от АПК, поради което е ДОПУСТИМА.
Разгледана по същество,
жалбата е ОСНОВАТЕЛНА.
При извършване на
проверката по чл.168, ал.1 от АПК съдът констатира, че оспореното решение е постановено
от компетентен орган – инспектор в ИВСС, в рамките на предоставените му
правомощия по чл.38в, ал.1 и ал.4, вр.чл.38б, ал.1 от ЗЗЛД и чл.94а, ал.1, т.3
и т.4, вр.чл.94б, ал.3 от Правилника за организацията на дейността на ИВСС и за
дейността на администрацията и на експертите, обн., ДВ, бр.103 от 27.12.2016г.,
в сила от 01.01.2017г., в установената писмена форма – решение за отхвърляне на
жалбата по чл.38в, ал.4 от ЗЗЛД и съдържащо всички реквизити по чл.59, ал.2 от АПК, в т.ч. фактически и правни изводи, поради което не се констатират пороци,
влечащи неговата нищожност.
При постановяване на
обжалваното решение не са допуснати съществени нарушения на
административнопроизводствените правила, като е спазена стриктно процедурата по
чл.38в от ЗЗЛД. Производството е започнало по жалба на физическо лице,
съдържаща оплакване за нарушаване на правата му по ЗЗЛД. Жалбата е разгледана
от инспектор, определен на принципа на случайния подбор от главния инспектор,
събрани са данни, относими към твърдяното нарушение, включително информация от
администратора на лични данни. Решението е постановено след като е предоставена
възможност на страните да изразят становище и представят писмени доказателства
съобразно чл.36 от АПК.
Обжалваното решение обаче
е постановено при неправилно тълкуване и приложение на материалния закон.
Не
се спори, че Окръжен съд-Варна е администратор на лични данни съгласно чл.4,
т.7 от Регламент (ЕС) 2016/679, във вр. § 1, т. 2 от ДР на ЗЗЛД, поради което е
адресат на задълженията, предвидени в ЗЗЛД. Не се спори и че на 08.06.2021г.,
на интернет страницата на съда, в изпълнение на задължението по чл.64 от ЗСВ е
публикувано Определение №****/07.06.2021г. по частно гр.д. № ****/2021г., в
което данните за жалбоподателя са публикувани, както следва: „…частна жалба
от Н.АНГ.Н., ЕГН********, от ****…“.
Спорът
между страните е формиран по въпроса дали публикуването на адреса на жалбоподателя,
в случая е достатъчно за неговата идентификация, респ. извършено ли е от
администратора на лични данни нарушение на правилата за тяхната закрила по Регламент
(ЕС) 2016/679 ?
За разрешаването на спора
между страните, съдът съобрази следното:
От
съображения 1, 2 и 4 от Регламент (ЕС) 2016/679 следва, че защитата на
физическите лица във връзка с обработването на лични данни е основно право.
Член 8, параграф 1 от Хартата на основните права на Европейския съюз и член 16,
параграф 1 от Договора за функционирането на Европейския съюз предвиждат, че
всеки има право на защита на личните му данни. Принципите и правилата относно
защитата на физическите лица във връзка с обработването на личните им данни
следва, независимо от тяхното гражданство или местопребиваване, да са
съобразени с техните основни права и свободи, и по-конкретно — с правото на
защита на личните им данни. Правото на защита на личните данни не е абсолютно
право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да
бъде в равновесие с другите основни права съгласно принципа на
пропорционалност.
Според
съображение 26 към Регламент (ЕС) 2016/679, принципите за защита на данните
следва да се прилагат по отношение на всяка информация, отнасяща се до
физическо лице, което е идентифицирано или може да бъде идентифицирано. Личните
данни, които са били подложени на псевдонимизация, които могат да бъдат
свързани с дадено физическо лице чрез използването на допълнителна информация,
следва да се считат за информация, отнасяща се до физическо лице, което може да
бъде идентифицирано.
Според
съображение 39 от Регламента, всяко обработване на лични данни следва да бъде
законосъобразно и добросъвестно […]. Личните данни следва да се обработват по
начин, който гарантира подходяща степен на сигурност и поверителност на личните
данни, включително за предотвратяване на непозволен достъп до лични данни и до
оборудване за тяхното обработване или за предотвратяване на използването им
Съгласно
чл.4, т.1) от Регламент (ЕС) 2016/679, „лични данни“ означава всяка
информация, свързана с идентифицирано физическо лице или физическо лице, което
може да бъде идентифицирано („субект на данни“); физическо лице, което може да
бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко,
по-специално чрез идентификатор като име, идентификационен номер, данни за
местонахождение, онлайн идентификатор или по един или повече признаци,
специфични за физическата, физиологичната, генетичната, психическата,
умствената, икономическата, културната или социална идентичност на това
физическо лице.
Според
дефиницията по чл.4, т.2) от Регламент (ЕС) 2016/679, „обработване“
означава всяка операция или съвкупност от операции, извършвана с лични данни
или набор от лични данни чрез автоматични или други средства като събиране,
записване, организиране, структуриране, съхранение, адаптиране или промяна,
извличане, консултиране, употреба, разкриване чрез предаване,
разпространяване или друг начин, по който данните стават достъпни,
подреждане или комбиниране, ограничаване, изтриване или унищожаване.
Според
дефиницията по чл.4, т.5) от Регламент (ЕС) 2016/679, „псевдонимизация“,
означава обработването на лични данни по такъв начин, че личните данни не могат
повече да бъдат свързвани с конкретен субект на данни, без да се използва
допълнителна информация, при условие че тя се съхранява отделно и е предмет на
технически и организационни мерки с цел да се гарантира, че личните данни не са
свързани с идентифицирано физическо лице или с физическо лице, което може да
бъде идентифицирано.
Съгласно
чл.5, §1, буква е) от Регламент (ЕС) 2016/679, един от принципите, свързани с
обработването на личните данни, е същите да се обработват по начин, който
гарантира подходящо ниво на сигурност на личните данни, включително защита
срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба,
унищожаване или повреждане, като се прилагат подходящи технически или
организационни мерки („цялостност и поверителност“).
Съгласно
чл.6, §1, букви а) – е) от Регламент (ЕС) 2016/679, обработването е
законосъобразно само ако и доколкото е приложимо поне едно от следните условия:
а) субектът на данните е дал съгласие за обработване на личните му данни
за една или повече конкретни цели; б) обработването е необходимо за
изпълнението на договор, по който субектът на данните е страна; в) обработването
е необходимо за спазването на законово задължение, което се прилага спрямо
администратора; г) обработването е необходимо, за да бъдат защитени
жизненоважните интереси на субекта на данните или на друго физическо лице; д)
обработването е необходимо за изпълнението на задача от обществен интерес или
при упражняването на официални правомощия, които са предоставени на
администратора; е) обработването е необходимо за целите на легитимните
интереси на администратора или на трета страна, освен когато пред такива
интереси преимущество имат интересите или основните права и свободи на субекта
на данните, които изискват защита на личните данни, по- специално когато
субектът на данните е дете.
Публикуването
на съдебните актове в изпълнение на задължението по чл.64, ал.1 и ал.3 от ЗСВ
без съмнение в частта, с която се идентифицират страните в производството,
представлява обработване на лични данни по смисъла на чл.4, т.2) от Регламент
(ЕС) 2016/679 в хипотезата на чл.6, §1, буква в) от Регламента.
Видно от извършеното
обезличаване на данните за жалбоподателя в процесното определение на Окръжен
съд-Варна, е извършена псевдонимизация на имената и ЕГН на жалбоподателя
по смисъла на чл.4, т.5) от Регламент (ЕС) 2016/679 – трите имена са
инициализирани, а ЕГН e изцяло заличен, но не е извършено обезличаване на данните за неговия
адрес, което настоящият съдебен състав преценява като нарушение на Регламент
(ЕС) 2016/679.
Адресът на лицето –
какъвто страните по исковите производства по ГПК са длъжни да посочват на
основание чл.127, ал.1, т.2 от ГПК – представлява данни за неговото
местонахождение, които [непряко] позволяват неговото идентифициране и следователно попада в
обхвата на понятието „лични данни“ по смисъла на чл.4, пар.1 от Регламента. Нещо
повече, постоянният адрес на лицето, съгласно чл.1, ал.3 от Закона за
гражданската регистрация – какъвто в случая видно от справка НБД „Население“
/л.6/ е посочения от жалбоподателя адрес – е част от съвкупността за данни за
едно лице, които го отличават от другите
лица в обществото и в семейството му, в качеството на носител на субективни
права.
В този смисъл настоящият
съдебен състав преценява, че адресът, на който обичайно пребивава дадено
физическо лице, независимо от наличието или липсата на административна
регистрация на същия, попада в обхвата на хипотезата на [защитени] „лични данни“ по смисъла на чл.4, т.1
от Регламента, т.к. непряко позволява идентифициране на пребиваващите на адреса
лица.
Макар тази информация да
не позволява сама по себе си [пряко] да се идентифицира съответното лице, в конкретния случай –
публикуването на инициалите на имената на жалбоподателя, в комбинация с
пълното изписване на неговия адрес – съдържащ информация за град, жилищен
комплекс, блок, вход, етаж и номер на конкретен апартамент, позволява
недвусмисленото идентифициране на жалбоподателя, поради което неправилно
инспекторът в ИВСС е приел в обжалваното решение, че посочването на адреса не е
достатъчно за индивидуализацията на жалбоподателя.
Така публикуваните лични
данни са престояли на интернет страницата на съда за периода от 08.06.2021г. до
22.06.2021г. – на която дата определението е публикувано с обезличен адрес,
което е в противоречие с императивните правила на чл.64, ал.3, вр.ал.1 от ЗСВ,
които изискват съдебните актове да се публикуват при спазване на изискванията
за защита на личните данни по ЗЗЛД и ЗЗКИ, като публикуването им следва да се
извършва по начин, който не позволява идентифицирането на физическите лица,
упоменати в тези актове.
Публикуването на съдебния
акт с неанонимизирани лични данни на субекта представлява „обработване“ по
смисъла на чл.4, т.2 от Регламента и § 1, т. 4 от ДР на ЗЗЛД, извършено под
формата на „разкриване чрез разпространение“. След като в ЗСВ е предвидена
специална защита на категорията данни, намиращи се в съдебните актове и
идентифициращи физическото лице, съдилищата в съответствие с ЗЗЛД следва да
анонимизират тази категория данни по подходящ начин, непозволяващ те да бъдат
свързани със физическото лице, за което се отнасят, без оглед на процесуалната
му роля в процеса и/или общодостъпния характер на част от информацията за него.
По изложените съображения
съдът приема, че безспорно е налице извършено нарушение от страна на Окръжен
съд-Варна при обработване на личните данни за Н.А.Н., поради което неправилно с
Решение № ЛДЖ-21-13/26.07.2021г. на инспектор в ИВСС, жалбата му с вх.рег.№
ЛДЖ-21-13/10.06.2021г. е отхвърлена като неоснователна.
Съгласно чл.38в, ал.5 от ЗСВ, когато жалбата е основателна, инспекторатът се произнася с решение, като
съгласно чл.38г, ал.1 и ал.2, във вр. чл.84, ал.1 и ал.2 от ЗЗЛД при
констатиране на нарушение на Регламента и на този закон, в зависимост от
характера и степента на нарушението, той има правомощия да прилага мерките по
чл.58, § 2, букви „а“ – „ж“ и „й“ от Регламента и мерките по чл.80, ал.1, т.3,
4 и 5 и/или да налага административни наказания в съответствие с чл 83 от
Регламента, както и по глава девета.
И двете възможни
алтернативи са приложими при допуснати нарушения на материалноправните
разпоредби на Регламента и ЗЗЛД от администратор на лични данни, като изборът
на подходяща мярка, респ.санкция за установено нарушение е изцяло в
оперативната самостоятелност на административния орган – в случая на ИВСС,
поради което обжалваното решение следва да бъде отменено, а преписката –
върната на инспектора към ИВСС, за ново разглеждане и процедиране по реда на
чл.38в, ал.5 и чл.38г от ЗЗЛД при спазване на задължителните указания по
тълкуването и прилагането на закона, дадени с настоящото решение.
При
този изход на спора и т.к. с Определение № 2114/24.08.2021г. жалбоподателят е
освободен от задължението за заплащане на такси и разноски за производството,
на основание чл.78, ал.6 от ГПК, вр.чл.144 от АПК, ответната страна следва да
бъде осъдена да заплати в полза на Административен съд – Варна следващата се от
жалбоподателя държавна такса в размер на 10лв.
Водим
от горното и на основание чл.173, ал.2 от АПК, Варненският административен съд,
VIII-ми състав
РЕШИ:
ОТМЕНЯ Решение № ЛДЖ-21-13/26.07.2021г. на инспектор в Инспекторат към Висшия съдебен
съвет /ИВСС/, с което на основание чл.38в, ал.4 от ЗЗЛД е отхвърлена
жалбата на Н.А.Н., ЕГН: **********,***/10.06.2021г., вх.рег.№
ЛДЖ-21-13/10.06.2021г. по описа на ИВСС, срещу действията на Окръжен съд -
Варна като администратор на лични данни при публикуване на Определение № ****/07.06.2021г.
по ч.гр.д. № ****/2021г. по описа на Окръжен съд-Варна.
ВРЪЩА делото като преписка на инспектора в
Инспекторат към Висшия съдебен съвет за ново разглеждане и произнасяне по
жалбата на Н.А.Н., ЕГН: **********,***/10.06.2021г., вх.рег.№
ЛДЖ-21-13/10.06.2021г. по описа на ИВСС, при спазване на задължителните
указания по тълкуването и прилагането на закона, дадени с настоящото решение.
ОСЪЖДА Инспектората към Висшия съдебен
съвет да заплати по сметката на Административен съд-Варна държавна такса в
размер на 10 (десет) лева за образуване на настоящото производство.
Решението подлежи на
касационно обжалване пред Върховния административен съд на РБ в 14-дневен срок
от съобщаването му на страните.
Административен
съдия: