Р Е Ш Е Н И Е
№72
гр. Габрово,
19.07.2023 г.
В И М Е Т О
Н А Н А Р О Д А
АДМИНИСТРАТИВЕН
СЪД ГАБРОВО, в открито съдебно заседание на десети юли
през две хиляди двадесет и трета година, в състав:
ПРЕДСЕДАТЕЛ: ДИЯН АТАНАСОВ
при
секретаря Мариела Караджова, като разгледа докладваното от съдия Атанасов адм.
д. № 100 по описа на съда за 2023 година и за да се произнесе, взе предвид
следното:
Производството
е по реда на чл. 145 и сл. от АПК във вр. с чл. 38 ал. 8 във вр. с ал. 3 от
Закона за защита на личните данни /ЗЗЛД/.
Образувано
е по жалба на „Д.С.“*** против
решение № ППН-01-339/21 г. от 13.04.2023 г. на Комисията за защита на личните
данни /КЗЛД или Комисията/ - в частта, в която жалбите с peг. № ППН-01-339/19.04.2021
г., peг. №
ППН-01-344/21.04.2021 г. и peг. № ППН-01-688/09.09.2021 г., подадени срещу
дружеството-жалбоподател от К.П. ***, са обявени за основателни за нарушение на
принципа на отчетност, закрепен в чл. 5, § 2 от Общия
регламент относно защитата на данните (ОРЗД) и на основание чл. 58, §2, б. „б“
от ОРЗД по отношение на „Д.С.“ ЕООД е отправено официално предупреждение, че с
операциите по обработване на личните данни на К.П. е нарушило принципа за
отчетност, закрепен в чл. 5, §2 от регламента, според който администраторът е
длъжен да докаже спазване на принципите за обработване на личните данни на
жалбоподателя, посочени в чл. 5, § 1 от регламента, респективно наличието на
условията за допустимост на обработването, предвидени в чл. 6, § 1,б. „б“ и б.
„в“ от ОРЗД.
В
жалбата се твърди, че решението на Комисията за защита на личните данни е
неправилно и необосновано, тъй като е постановено в противоречие с материалния
закон и приложените по преписката доказателства, както и при допуснати
съществени процесуални нарушения. В констативната част на решението е прието,
че е налице трудово правоотношение, а в същото време към дружеството е
отправено официално предупреждение, защото не е следвало да подава информация
до НОИ. Твърди се, че
решението е в директно противоречие на императивна разпоредба на трудовото
право - чл. 62 от КТ. В случая работникът е
отказал да подпише трудовия си договор, но се явил на работа и изпълнявал
задълженията си, с което е поставил работодателят в ситуацията да не изпълни
императивна разпоредба на трудовото законодателство, ако не регистрира трудовия
договор.
В случая личните данни са предоставени от субекта с
правно основание по чл. 6, § 1 от Регламент (ЕС) 2016/679, от което се налага
извод, че П. по своя преценка и желание е предоставил на дружеството лични
данни, необходими с оглед сключване на трудов договор помежду им, което на
практика представлява израз на съгласие за обработване на личните му данни и
условие за допустимост на обработване на лични данни, посочено от чл. 6, §1, б.
„а“ от ОРЗД.
Не се спори, че ,Д.С.“ ЕООД е администратор на лични
данни, но предвид, че за да бъде обработването на лични данни законосъобразно,
администраторът или третото лице, на което се разкриват данните, следва да
преследват законни интереси - подаването на информация по електронен път е
законово задължение, второ, обработването на личните данни да е необходимо за
целите на преследваните законни интереси - категорично произтича от законовото
задължение на работодателя, в случай „Д.С.“ ЕООД и трето, основните права и
свободи на лицето, ползващо се от защитата на данните, да нямат преимущество
върху преследваните законни интереси, то не се установява по безспорен начин да
е допуснато нарушение на принципа на отчетност.
Макар и да е маркирано в оспореното решение, че
действащата нормативна уредба предвижда възникване за работодателя на
задължение за уведомяване за сключен и прекратен трудов договор, към момента на
тяхното действително сключване и прекратяване и към този момент обработването
на личните данни на физическото лице - в хипотезата на разпространението им,
чрез подаване на съответните уведомления до НАП, се явява правомерно,
осъществено при условията на чл. 6, б. „б“ и б. „в“ от ОРЗД, КЗЛД приема, че „Д.С.“
ЕООД е нарушило принципа за отчетност. В
този смисъл е и особеното мнение, изразено от единия от членовете на Комисията.
От
въведената в дружеството политика за защита на личните данни и Вътрешни правила
за защита на личните данни, приети 23.05.2018 г., е видно, че дружеството
изключително стриктно и консервативно борави с лични данни. По отношение на
предоставените от г-н К.П. данни, са приложени всички въведени правила за
тяхното използване, съхранение и унищожаване. Подаваните от К.П. искания са
били разглеждани от дружеството и преценявани с оглед задълженията му съгласно
Регламент (ЕС) 2016/679 и Закона за защита на личните данни. Тези обстоятелства
са констатирани от КЗЛД в решението, но не са обсъдени, което представлява
нарушение на процесуалните правила и не са кредитирани от Комисията в мотивите
на обжалваното решение. Поради това, дори да се приеме, че са използвани
личните данни на жалбоподателя К.П.П., то същите са използвани правомерно,
осъществено при условията на чл. 6, б. „б“ и б. „е“ от ОРЗД“ и предвид че не
следва да се дава преимущество на основните права и свободи на лицето, ползващо
се от защитата на данните, спрямо преследваните законни интереси, то категорично
не може да се установи каквото и да е нарушение на Закона за защита на личните
данни и Общия регламент относно защитата на данните. Затова се прави искане
обжалваното решение да бъде отменено.
В
с.з. жалбоподателят се представлява от адвокат Ц.
П., която поддържа жалбата и моли решението на КЗЛД да бъде
отменено по изложените съображения. Прави искане за присъждане на сторените от
жалбоподателя разноски.
Ответникът
– Комисия за защита на личните данни – не изпраща представител в с.з. В писмено
становище, подадено от процесуален представител юрк. Д. Г., оспорва
основателността на жалбата по подробно изложени съображения, като прави искане
за отхвърлянето й, както и да му бъде присъдено юрисконсултско възнаграждение.
Заинтересованото
лице К.П.П. се явява лично в с.з. и с пълномощника си адвокат Н.Х.. Изразява се
становище за законосъобразност на постановеното решение, по съображения,
подробно изложени в писмени бележки.
От
ответника е представена административната преписка по издаване на оспорения
акт.
Съдът,
след като обсъди становищата на страните и събраните по делото доказателства,
приема за установено следното от фактическа страна:
Административното
производство е образувано по жалби с peг. № ППН-01-339/19.04.2021г., peг. №
ППН-01-344/21.04.2021 г., peг. № ППН-01-688/09.09.2021г., както и жалба peг. №
ППН-02-448/27.09.2021 г., подадена от К.П.П. срещу „Д.С.“ ЕООД и „Ц.“ ЕООД.
В
идентичните по своя предмет жалби с peг. № ППН-01-339/19.04.2021 г., peг. №
ППН-01-344/21.04.2021 г., peг. № ППН-01-688/09.09.2021 г. К.П. твърди, че
работодателят му «Д.С.“*** е злоупотребил с личните му данни, като е сключил
договор без неговото знание и съгласие, с невярна информация. Твърди, че работодателят му не е получил от него
„информирано съгласие за обработване на личните му данни, за сключване на
договор и видеонаблюдение“. Приложил е копие от
трудов договор, който не е подписан от него, както и копие от информирано съгласие,
което също не е подписал. Според П., работодателят му „съвсем незаконно и
умишлено регистрира трудови договори и ги прекратява, като злоупотребява с
лични данни».
С
жалба с peг. №
ППН-02-448/27.09.2021 г. К.П. е направил твърдения за неправомерно обработване
на личните му данни освен от «Д.С.» ЕООД и от счетоводна кантора - „Ц.“
ЕООД гр. Габрово.
С оглед изясняване на твърденията в жалбите, от страна на
КЗЛД до «Д.С.» ЕООД са отправени писма, с които е указано, че дружеството има
възможност да представи писменото си становище по изложените в жалбите факти и
обстоятелства, ведно с относимите доказателства, в това число - да представи
пред КЗЛД заверени копия от трудовия договор, сключен между него и
жалбоподателя П., от длъжностната му характеристика, както и от декларацията,
обективираща съгласието за обработване на личните му данни. Изискано е и
предоставяне на заверено копие от вътрешните правила, приети от „Д.С.“
и действащи в дружеството при осъществяване на твърдяното от жалбоподателя
видеонаблюдение. Писмата са върнати в КЗЛД с отбелязване „непотърсени“, а при
отправянето им по имейл, получаването им не е потвърдено.
След изискването му, становище е постъпило от счетоводна
кантора „Ц.“ ЕООД, в което е посочено, че от 01.01.2017 г. до
31.12.2021 г. дружеството не е осъществявало дейност по смисъла на Закона за
счетоводството и че през същия период не е било в договорни отношения за
счетоводно обслужване с „Д.С.“ ЕООД. В потвърждение
на изложеното е представена подадена в НСИ декларация за посочените финансови
години.
От Националната агенция за приходите е изискана и
постъпила информация, че за лицето К.П.П. има данни за подадени уведомления по
чл. 62, ал. 5 от КТ за сключен и прекратен трудов договор с „Д.С.“
ЕООД, както следва:
Уведомление
по чл. 62, ал. 5 от КТ за сключен трудов договор с вх. №
07388213005724/20.03.2021 г. - подадено по електронен път, чрез електронните
услуги на НАП, достъпни с КЕП от името на «Д.С.» ЕООД и автор на
удостоверението за КЕП - Н.
И. С..
Уведомление
по чл. 62, ал. 5 от КТ за прекратен сключен трудов договор с вх. №
07388213007473/12.04.2021 г подадено по електронен път, чрез електронните
услуги на НАП, достъпни с КЕП от името на „Д.С.“ ЕООД и автор на
удостоверението за КЕП - Н.
И. С..
Видно
от протокол №38 от 19.10.2022 г. за проведено на същата дата редовно заседание
на КЗЛД /л.194-196 от делото/, подадените от К.П. жалби са приети за редовни и
допустими, като подадени пред компетентен орган, при наличие на правен интерес
и срещу лица - администратори на лични данни по смисъла на чл. 4, т. 7 от Общия
регламент относно защита на данните. На основание чл. 32 от АПК и доколкото, правата и
задълженията на страните произтичат от еднакво фактическо състояние и относно
тях е компетентен един и същ административен орган, КЗЛД приема решение, с
което обединява производствата по жалбите, подадени по повод обработване
наличните данни на К.П.П.. Като страни в административното производство са конституирани
жалбоподателят К.П.П. и «Д.С.» ЕООД и „Ц.“ ЕООД - ответни страни. На основание
чл. 38, ал. 3 от ПДКЗЛДНА, подадените жалби са определени за разглеждане по
същество в открито заседание, насрочено за 25.01.2023 г., за което страните са
редовно уведомени по реда на AIIK.
С писмо peг. № ППН-
01-339/2021 г.# 16/10.11.2022 г. Комисията е изискала от „Д.С.“ ЕООД
представяне на документи, сред които заверени копия от трудовия договор,
сключен между дружеството и К.П., от длъжностната му характеристика,
декларация, обективираща съгласието за обработване на личните му данни от
страна на дружеството, ведомости за заплати или документи за превод на такива
по банков път, вътрешните правила, приети и действащи в дружеството при
обработване на лични данни, вкл. при осъществяване на твърдяното от
жалбоподателя видеонаблюдение.
Видно от приложения в административната преписка протокол
с peг.
№ ППН-01-344/2021 г./23.11.2022 г., пълномощникът на дружеството адв. З.-М. се
е запознала в цялост с преписката. С имейл до КЗЛД от 01.12.2023 г. е потвърдила получаването
на писмо peг. № ППН-01-339/2021 г.# 16/10.11.2022 г., но изисканите
от дружеството документи не са представени.
Към преписката е приложено неоспорено от
дружеството-жалбоподател писмо изх. № 210523/20/05.07.21 г. по описа на Дирекция
„Инспекция по труда“ Габрово, представено от К.П..***
е извършена проверка, при която е установено трудово
правоотношение между К.П. и „Д.С.“ ЕООД, в качеството му на работодател,
възникнало на 22.03.2021 г. и съществувало до 12.04.2021 г. Установено е, че
трудовият договор е подписан само от работодателя и не е подписан от
жалбоподателя, както не е подписана от П. и Заповед № 3/12.04.2021 г. за
прекратяване на въпросния договор.
На 25.01.2023 г. е проведено е открито заседание на КЗЛД,
за което е съставен протокол №2 от същата дата. Освен председателя и членовете на Комисията,
в заседанието са участвали К.П. и адвокат Т. - процесуален представител на „Д.С.“
ЕООД. Тъй като обсъждането на фактите, обстоятелствата и относимите доказателства
не е довело до вземане на окончателно решение, гласуването му е отложено за
пълен състав на комисията и е проведено от административния орган в заседание
на 22.02.2023 г. В това заседание са обсъдени събраните по административната
преписка становища и относими доказателства, за които е прието, че между
страните по административната преписка е съществувало фактическо трудово
отношение, възникнало на 22.03.2021 г. и съществувало до 12.04.2021 г. Полагането
на труд от К.П., без валидно сключен трудов договор с работодателя му „Д.С.“
ЕООД, е потвърдено от извършената от ДИТ - Габрово проверка, установяваща, че
Трудов договор № 02/20.03.2021 г., е подписан само от работодателя и не е
подписан от жалбоподателя, както и че не е подписана от П. и Заповед №
3/12.04.2021 г. за прекратяване на въпросния договор.
Прието е, че със самото си кандидатстване за работа и с
постъпването си в дружеството, след изискването им, но по своя преценка и
желание, К.П. е предоставил на дружеството лични данни и документи, необходими
с оглед сключване на трудов договор помежду им, което на практика представлява
израз на съгласие за обработване на личните му данни и условие за допустимост
на обработване на лични данни, посочено от чл. 6, § 1,б. „а“ от ОРЗД.
Същевременно, макар администраторът „Д.С.“ ЕООД да е
обработил личните данни на доброволно предоставилия ги за сключването на трудов
договор П., обработването на тези данни - в хипотезата на разпространението им
- чрез отправяне на уведомление по чл. 62, ал. 5 от КТ за сключен трудов
договор с вх. № 07388213005724/20.03.2021 г. и на
уведомление по чл. 62, ал. 5 от КТ за прекратен сключен трудов договор с вх. № 07388213007473/12.04.2021 г., подадени по
електронен път, чрез електронните услуги на НАП - е осъществено без наличие на
условие за допустимост на обработването им. Подаването на информация към НАП,
чрез отправяне на описаните уведомления по чл. 62, ал. 5 от Кодекса на труда, е
сторено от «Д.С.» ЕООД, без наличие на фактически, реално, сключен трудов
договор между него и жалбоподателя, съдържащ ясно изразеното му и удостоверено
със саморъчния му подпис, волеизявление.
КЗЛД
е приела, че действащата нормативната уредба предвижда възникване за
работодателя на задължение за уведомяване за сключен и прекратен трудов
договор, към момента на тяхното действително сключване и прекратяване и към
този момент обработването на личните данни на физическото лице - в хипотезата
на разпространението им, чрез подаване на съответните уведомления до НАП, се
явява правомерно, осъществено при условията на чл. 6, § 1,б. „б“ и б.„в“ от ОРЗД. „Д.С.“
ЕООД обаче е обработило личните данни на П., без наличие на условията за
допустимост, предвидени в чл. 6, § 1, б. „б“ и б. „в“ от ОРЗД, разпространявайки
ги пред НАП, без подписан помежду им трудов договор и без за администратора да
е възникнало законово задължение за обработване на данните - чрез подаване на
уведомленията по чл. 62, ал. 5 от Кодекса на труда. В процесния случай, с
действията си, администраторът на лични данни е нарушил принципа за отчетност,
закрепен в чл. 5, § 2 от ОРЗД, изпадайки в невъзможност да докаже спазване на
принципите за обработването на личните данни на жалбоподателя, посочени в чл.
5, § 1 от регламента.
По
отношение на жалба с peг. № ППН-02-448/27.09.2021 г. - в частта й, насочена
срещу неправомерно обработване на личните данни на К.П. от счетоводна кантора „Ц.“
ЕООД, КЗЛД е приела, че жалбоподателят не ангажира каквито и да е относими
доказателства в подкрепа на изложените от него твърдения. Същевременно, в ангажираното от „Ц.“ ЕООД становище, се сочи, че от
01.01.2017 г. до 31.12.2021 г. дружеството не е осъществявало дейност по
смисъла на Закона за счетоводството и че през същия период не е било в никакви
договорни отношения за счетоводно обслужване с работодателя на К. П. - „Д.С.“
ЕООД, които твърдения са подкрепени с депозирано копие от подадена от
счетоводната кантора, декларация в Националния статистически институт за
посочените финансови години. С оглед горното, по
отношение на „Ц.“ ЕООД не се установявало обработване на лични данни на К.П..
КЗЛД
е констатирала, че съдържащите
се по преписката доказателства, свидетелстват че молбите на жалбоподателя,
отправени до „Д.С.“ ЕООД (върнали се в цялост, със статус „непотърсени“) имат
за предмет предоставяне на копия от изчерпателно изброени документи, свързани с
трудовите взаимоотношения помежду им и нямат характера на заявления за достъп
до лични данни по смисъла на чл. 37“б“ и чл. 37“в“ от Закона за защита на
личните данни (ЗЗЛД), във връзка с предвидените в чл. 12-22 от ОРЗД права на
субекта на данните. Правото на достъп до лични данни по
смисъла на ОРЗД не включва получаването на копия от документи, а информацията,
която следва да бъде предоставена на физическото лице би трябвало да дава
отговори, свързани с обема и начините на обработване на личните му данни. Понятието
„копие на лични данни”, тълкувано като „копие на документи”, на практика не
кореспондира с идеята за естеството на информацията - предмет на достъпа
такава, каквато е нормативно дефинирана. Съществуват множество нормативни
актове, боравещи изрично с понятието „копие от документи” и съответно
регламентиращи достъпа до тях, с оглед на което копия от документи се
предоставят от администратора на лични данни по реда, предвиден за тяхното
създаване, съхранение и достъп.
Предвид
факта, че жалбите, с които К.П. сезира КЗЛД, следват във времето момента на
прекратяване на отношенията между жалбоподателя и «Д.С.» ЕООД по повод
положения от него труд, твърдяното от жалбоподателя нерегламентирано
видеонаблюдение, извършвано на работното му място, от „Д.С.“ ЕООД, не е
възможно да бъде установено.
Въз
основа на изложеното КЗЛД е приела обжалваното решение, с което е отхвърлила
жалба с peг. № ППН-02-448/27.09.2021 г. като неоснователна и недоказана по
отношение на „Ц.“ ЕООД и „Д.С.“ ЕООД. Обявила е за основателни останалите три жалби - за нарушение на принципа за
отчетност, закрепен в чл. 5, §2 от ОРЗД и невъзможността на дружеството да
докаже спазване на принципите за обработването на личните данни на
жалбоподателя, посочени в чл. 5, § 1 от регламента, респективно наличието на
условията за допустимост на обработването, предвидени в чл. 6, § 1, б. „б“ и б.
„в“ от ОРЗД. С оглед на така установеното нарушение и
на осн. чл. 58, § 2, б. „б“ от ОРЗД, Комисията е отправила по отношение на „Д.С.“
ЕООД официално предупреждение, че с операциите по обработване личните данни на К.П.
е нарушило принципа за отчетност, закрепен в чл. 5, § 2 от регламента, според
който администраторът е длъжен да докаже спазване на принципите за
обработването на личните данни на жалбоподателя, посочени в чл. 5, § 1 от
регламента, респективно наличието на условията за допустимост на обработването,
предвидени в чл. 6, § 1, б. „б“ и б. „в“ от ОРЗД.
В тази част, която е и предмет на съдебното обжалване,
решението е взето с 3 гласа "за" от общо присъстващите
четирима членове на КЗЛД, вкл. председателя. Един
от членовете е гласувал «против» обявяването на жалбата за основателна по
отношение на „Д.С.“ ЕООД, с мотив, че в процесния случай, данните на
жалбоподателя К.П. са обработени от дружеството в хипотезата на събирането,
разпространението и съхранението им, правомерно - при наличие на условията за
допустимост на обработването, закрепени в чл. 6, § 1, б. „а“, б. „б“ и б. „в“
от ОРЗД. Според този член на КЗЛД именно възприемането за реално на
съществуването на сключен между страните Трудов договор № 02/20.03.2021 г.,
обосновава налагането на принудителни административни мерки от ДИТ по отношение
на „Д.С.“ ЕООД.
Решението
на КЗЛД е връчено на дружеството на 20.04.2023 г., а жалбата срещу него е
постъпила на 03.05.2023 г.
Въз основа на установената фактическа обстановка и като
извърши проверка по наведените в жалбата доводи за отмяна на процесния ИАА,
така и за наличието на всички основания по чл.
146, във вр. с чл.
168, ал. 1 от АПК, съдът
достигна до следните
правни изводи:
Жалбата
е подадена против индивидуален административен акт, подлежащ на съдебен
контрол, от надлежно легитимирано лице и в срока по чл. 149, ал. 1 от АПК, вр. с чл. 84, ал. 1 от
ЗЗЛД, поради което е процесуално
допустима.
Разгледана
по същество, жалбата е неоснователна.
Производството
пред КЗЛД е образувано след сезиране по чл. 38, ал. 1 от
ЗЗЛД във връзка с чл. 27 и сл. от
Правилника за дейността на КЗЛД и нейната администрация /ПДКЗЛДНА/, издаден на
основание чл. 9, ал. 2 от ЗЗЛД.
Към момента на подаване на жалбите от К.П.
не е изтекъл предвидения в чл. 38 ал.1 от ЗЗЛД срок, тъй като същите касаят
нарушения в периода м. март – м. април 2021 г., а са подадени през м. април и
през м. септември същата година.
В разпоредбата на чл. 6 от ЗЗЛД е посочено, че Комисията
за защита на личните данни, е постоянно действащ независим надзорен орган,
който осъществява защитата на лицата при обработването на техните лични данни и
при осъществяването на достъпа до тези данни, както и контрола по спазването на
Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г.
относно защитата на физическите лица във връзка с обработването на лични данни
и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО
(Общ регламент относно защитата на данните) и на този закон. Правомощията на
КЗЛД произтичат и от разпоредбите на чл. 51 и чл. 55 от Регламент /ЕС/
2016/679, съгласно които всяка държава-членка осигурява един или повече
независими публични органи, които са отговорни за наблюдението на прилагането
на настоящия регламент, за да се защитят основните права и свободи на
физическите лица във връзка с обработването и да се улесни свободното движение
на личните данни в рамките на Съюза („надзорен орган").Всеки надзорен
орган е компетентен да изпълнява задачите и да упражнява правомощията,
възложени му в съответствие с регламента, на територията на своята собствена
държава членка.
Като надзорен орган по защита на личните данни на
територията на Република България, в разглеждания случай с оспореното решение
КЗЛД е упражнила своите правомощия по чл. 38 във вр. с чл. 84 от ЗЗЛД във вр. с
чл.
58, параграф 2, б. "б" от Регламент (ЕС) 2016/679. Предпоставките за това
са били налице, предвид извършеното уведомяване на комисията от субект на
данни, какъвто без съмнение е К.П.П., за нарушаване на правата му по цитирания
регламент и по ЗЗЛД. Затова в
правомощията на Комисията е да се произнесе за допуснати нарушения и да прилага
мерките по чл.
58, параграф 2, букви "а" – "з" и "й" от
Регламент (ЕС) 2016/679
или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях
да наложи административно наказание в съответствие с чл.
83 от Регламент (ЕС) 2016/679, както и по глава девета - чл.
38, ал. 3 от ЗЗЛД.
На основание чл.
9, ал. 4 във връзка с ал.
3 от ЗЗЛД решенията на
комисията се вземат с мнозинство от общия брой на членовете й /чл.
7, ал. 1 от ЗЗЛД -
председател и членове; чл. 4, ал. 1 от Правилника/ при проведено открито
заседание. Същото следва да бъде подписано от
всички членове, участвали в гласуването, като следва да се съобрази и
специалната норма на чл. 12 от Правилника, регламентираща валидността на
решението, когато то може да се вземе и неприсъствено, ако председателят и
всички членове на комисията са съгласни и го подпишат. Видно от Протокол № 6/12.02.2020 г. на последното
проведено заседание присъстват председателя В. К. и членовете Ц. Ц., М. М. и В. Ц. – подписал с
особено мнение и гласувал «против» решението в оспореното му пред съда част. Председателят
и членовете на КЗЛД са положили подписите си под оспорваното решение, взето с
изискуемото мнозинство. Предвид това, съдът счита, че актът е постановен от
компетентен орган и не е налице отменителното основание по чл. 146, т. 1 АПК.
Оспорваният
ИАА съдържа реквизитите по чл. 59, ал. 2 от АПК,
а именно: наименование на органа, който го е издал - КЗЛД; наименование на акта
- решение; адресатите на акта – К.П., «Д.С.» ЕООД и «Ц.» ЕООД; фактически и
правни основания за издаването му; разпоредителна част, с която обявява за неоснователна
жалба с peг. № ППН-02-448/27.09.2021 г., подадена от П. срещу „Ц.“ ЕООД и „Д.С.“
ЕООД, а за основателни - жалби с peг. № ППН-01-339/19.04.2021 г., peг. №
ППН-01-344/21.04.2021 г., peг. № ППН-01-688/09.09.2021 г., подадени срещу „Д.С.“
ЕООД от К.П.П., за нарушение на принципа на отчетност, закрепен в чл. 5, § 2от
Общия регламент относно защитата на данните (ОЗРД), поради което и на осн. чл.
58, §2, б. „б“ от ОРЗД по отношение на „Д.С.“ ЕООД е отправено официално
предупреждение, че с операциите по обработване на личните данни на К.П.
дружеството е нарушило принципа за отчетност, закрепен в чл. 5, §2 от
регламента, според който администраторът е длъжен да докаже спазване на
принципите за обработване на личните данни на жалбоподателя, посочени в чл. 5,
§ 1 от регламента, респективно наличието на условията за допустимост на
обработването, предвидени в чл. 6, § 1,б. „б“ и б. „в“ от ОРЗД. В решението се съдържат и: данни за дата му на издаване - 13.04.2023г.; пред
кой орган и в какъв срок може да се обжалва; подписи на лицата, участвали в
производството, с означаване на заеманата длъжност - председател и членове на
КЗЛД. Предвид това, съдът намира, че е спазена законоустановената форма на
оспорваното Решение № ППН-01-339/21 г. от 13.04.2023 г. на КЗЛД.
На следващо място, съдът приема, че с писма peг. № ППН-
01-339/2021 г.# 16/10.11.2022 г., peг. № ППН-
01-339/2021 г.# 17/10.11.2022 г. и peг. № ППН-
01-339/2021 г.# 18/10.11.2022 г., Комисията е уведомила К.П., «Д.С.» ЕООД и «Ц.»
ЕООД за образуваното производство и за датата на разглеждане на жалбите в
открито съдебно заседание, като им е предоставила възможност за запознаване с
материалите по преписката, изразяване становище по изложените в жалбата
твърдения, вкл. и други относими към спора доказателства.
Приложените
по делото препис-извлечение на протоколи от проведени заседания на КЗЛД
съответстват на разпоредбата на чл. 11, ал. 2 от Правилника, като в тях са
посочени: датата и мястото на провеждане на заседанието, присъстващите членове
на комисията и служители от администрацията, приетият дневен ред, направените
по него изказвания и взетите решения. Предоставена е възможност на всички
участници в производството да изразят своите становища, да се запознаят с
приложените по преписката документи, както и да предоставят необходимите за
тезите им доказателства. Следователно при формиране на своите правни изводи
КЗЛД е събрала и проверила доказателствения материал в съответствие с чл. 34
- чл. 40 от АПК,
като не е ограничила нито една от страните да изложи съображения в подкрепа на
позицията си. Изпратените в хода на процедурата уведомителни писма са
придружени с обратни разписки, върху които получателите - страни по преписката,
са поставили дата и подпис на получаване. Спазен е принципът на чл.
8 от АПК, като на всички лица,
заинтересовани от изхода на административните производства, са осигурени равни
процесуални възможности да участват в тях в защита на своите права и законни
интереси.
Въз
основа на всичко изложено съдът приема, че оспореното решение, като взето с
изискуемото мнозинство и подписано от лицата, участващи в гласуването на 22.02.2023
г. не е постановено при допуснато съществено нарушение на
административно-производствените правила. Следователно, не е налице
основание за отмяна на
атакувания ИАА по смисъла на чл.
168, ал. 1 във връзка с чл.
146, т. 3 от АПК.
Спазен
е и материалният закон.
За
прилагане на наложената от КЗЛД мярка по чл. 58, § 2, б. „б“ от Регламент (ЕС)
2016/679 е необходимо надзорният орган да констатира, че операции по
обработване на данни са нарушили разпоредбите на същия регламент.
По
делото не се спори, че «Д.С.»*** е администратор на лични данни съгласно чл. 4,
т. 7 от Регламент (ЕС) 2016/679, във вр. § 1, т. 2 от ДР на
ЗЗЛД, поради което е адресат на
задълженията, предвидени в ЗЗЛД.
Безспорно
се установява, като се признава и от самото заинтересовано лице К.П., че
последният е предоставил личните си данни на дружеството за целите на сключване
на трудов договор между тях. Такъв
договор не
е сключен, тъй като не е подписан от работника, макар и същият да е
осъществявал трудова дейност в дружеството в периода от 22.03.2021 г. до
12.04.2021 г.
Не
е спорно, че по електронен път /чрез електронните услуги на НАП, достъпни с КЕП/
дружеството-жалбоподател е подало следните уведомления: Уведомление по чл. 62,
ал. 5 от КТ за сключен трудов договор с К.П.П., регистрирано с вх.
№07388213005724/20.03.2021 г. и Уведомление по чл. 62, ал. 5 от КТ за прекратен
сключен трудов договор с К.П., с вх. № 07388213007473/12.04.2021 г., което също
е подадено по електронен път, чрез електронните услуги на НАП, достъпни с КЕП.
Съгласно чл. 5 т. 2 от
Наредба № 5 от 29.12.2002 г. за съдържанието и реда за изпращане на
уведомлението по чл. 62, ал. 5 от Кодекса на труда, изд. от Министъра на труда
и социалната политика, уведомлението съдържа данни за работника или служителя -
трите имена и единен граждански номер (личен номер, личен номер на чужденец),
служебен номер, издаден от НАП.
Следователно, чрез подаването на цитираните уведомления
дружеството е предало личните данни на К.П.П., разбирани като такива по смисъла
на чл. 4 т. 1 от Регламента.
Спорът между страните е съсредоточен върху това дали
обработването на личните данни на К.П. е законосъобразно, като според КЗЛД то не
е такова, доколкото личните данни на физическото лице са разпространени
/предоставени/ пред НАП, без за администратора да е възникнало законово задължение
за това по смисъла на чл. 62 ал. 5 от КТ и следователно – при отсъствието на
условията за допустимост, предвидени в чл. 6, § 1,б. „б“ и б. „в“ от
Регламента, а именно: 1. Обработването е
законосъобразно, само ако и доколкото е приложимо поне едно от следните
условия:
- обработването е необходимо за изпълнението на договор,
по който субектът на данните е страна, или за предприемане на стъпки по искане
на субекта на данните преди сключването на договор;
- обработването е необходимо за спазването на законово
задължение, което се прилага спрямо администратора.
Обратно,
дружеството-жалбоподател счита, че тези условия са били налице, предвид
съществувалото трудово правоотношение между него и К. П.. Позовава се и на условието за допустимост на обработване
на лични данни, визирано в разпоредбата на чл. 6, § 1, б. „а“ от Регламента,
съгласно което обработването е законосъобразно, ако субектът на данните е дал
съгласие за обработване на личните му данни за една или повече конкретни цели.
Съдът намира тези доводи на жалбоподателя за
неоснователни.
Съгласно чл. 4 т. 2 от Регламент (ЕС) 2016/679 и §
1, т. 4 от ДР на ЗЗЛД „обработване"
означава всяка операция или съвкупност от операции, извършвана с лични данни
или набор от лични данни чрез автоматични или други средства като събиране,
записване, организиране, структуриране, съхранение, адаптиране или промяна,
извличане, консултиране, употреба, разкриване чрез предаване, разпространяване
или друг начин, по който данните стават достъпни, подреждане или комбиниране,
ограничаване, изтриване или унищожаване.
След
като К.П. е предоставил личните си данни на дружеството-администратор за целите
на сключване на трудов договор между тях, безспорно са били налице условията,
предвидени в чл. 6, § 1, б. „а“ от Регламента. Тези условия обаче не могат да
се разглеждат изолирано от вида на конкретното «обработване» на личните данни,
посочено в цитираната разпоредба на чл. 4 т. 2 от Регламента, тъй като
изразяването на съгласие се свързва с предоставената на субекта на личните
данни информация за тяхното използване. От изложеното се налага извод, че
изразеното от К.П. съгласие е дадено безусловно за посочената цел и за
обработване на личните му данни в хипотезите на събиране и съхранение от
администратора „Д.С.“ ЕООД.
Съгласие от страна на работника за изпращане на
уведомления по чл. 62, ал. 5 от КТ не се изисква, тъй като това задължение на
работодателя не е необходимо за изпълнение на договора, а обработването е
необходимо за спазването на законово задължение, което се прилага спрямо
администратора, т.е. в случая е приложима единствено разпоредбата на чл. 6, §
1, б. „в“ от Регламента. Безспорно е, че предаването на личните данни на
работника на НАП по реда на цитираните разпоредби на КТ и Наредба № 5/29.12.2002 г. представлява
разпространение на лични данни и за за да бъде законосъобразно такова
обработване следва да е налице сключване или изменение, респ. прекратяване на
трудов договор, каквото в случая няма, тъй като такъв договор не е подписан
между страните. Същата предпоставка следва да е налице и ако се приеме за
приложима разпоредбата на чл. 6, § 1, б. „б“ от Регламента, т.е. дори да се
приеме, че работникът е изразил съгласие за предоставяне на данните му на НАП,
това съгласие е дадено под условие, че страните сключат трудов договор.
Въз основа на изложеното не могат да се приемат за
основателни възраженията в жалбата, според които обжалваното решение е вътрешно
противоречиво, след като с него е прието, че между дружеството и П. е
съществувало трудово правоотношение. Както беше
посочено, липсата на писмен трудов договор води до отсъствие на основната
предпоставка за законосъобразното обработване, под формата на разпространение,
на личните данни на работника чрез предаването им на НАП. От
друга страна, дружеството-жалбоподател се опитва да черпи права от своето
неправомерно поведение, доколкото съгласно чл. 63 ал. 1 от КТ то е било длъжно,
но не е предоставило на работника екземпляр екземпляр от сключения трудов договор,
подписан от двете страни – поради липса на такъв, както и копие от
уведомлението по чл.
62, ал. 3, заверено от
териториалната дирекция на Националната агенция за приходите. А съгласно ал. 2 на чл. 63 от КТ, работодателят няма право да допуска до работа работника или служителя,
преди да му предостави документите по ал. 1.
Затова съдът
намира, че КЗЛД правилно е квалифицирала деянието като нарушение на разпоредбите
на Регламент (ЕС) 2016/679 и по-конкретно
- на принципа на отчетност, закрепен в чл. 5 от същия, според който администраторът носи отговорност и е длъжен да
докаже спазването на принципите за обработването на личните данни, вкл. че
същите са обработвани законосъобразно, при наличието на условията за
допустимост по чл. 6, § 1, б. «б»
и б. „в“ от ОРЗД.
Правилно и законосъобразно Комисията е преценила, че за
установеното нарушение следва да бъде приложена принудителна административна
мярка "официално предупреждение" по чл. 58, § 2, б. "б" от
Регламента, с оглед наличието на смекчаващи отговорността обстоятелства. Преценката
й за
това е обоснована от съображения за целесъобразност и ефективност на решението,
като при избора на мярка са взети предвид особеностите на конкретния случай и
степента на засягане на интересите на конкретното физическо лице, субект на
лични данни, както и на обществения интерес.
Обжалваното
решение се основава на факти, обективно установени и преценени от
административния орган, който е упражнил правомощията си по ЗЗЛД добросъвестно
и в съответствие с приложимите процесуалноправни и материалноправни разпоредби.
Определената от него корективна мярка е съобразена с целта на закона –
възстановяване спазването на нормативно установените правила във връзка с
обработването на лични данни.
По
изложените мотиви съдът приема, че не са налице основания по чл. 146 от АПК
за отмяна на оспореното решение, поради което жалбата срещу него следва да бъде
отхвърлена като неоснователна.
Предвид
на изхода от спора и на основание чл. 143, ал. 4 от АПК, във вр. чл.
78, ал. 8 от ГПК и
чл.
37 от ЗПП, съдът ще осъди
жалбоподателя да заплати на
ответника юрисконсултско възнаграждение в размер на 100 лева, определено на
основание чл.
24 от НЗПП.
Воден
от горното и на основание чл. 172, ал. 2 от АПК, съдът
Р Е Ш И:
ОТХВЪРЛЯ жалбата на „Д.С.“ ЕООД, ЕИК:**************със
седалище и адрес на управление гр. *********, ул. „***********“
№ ***, вх. „***“,
ет. **, ап. ***,
против Решение № ППН-01-339/21 г. от 13.04.2023 г. на
Комисията за защита на личните данни /КЗЛД/ - в частта, в която жалбите с peг. № ППН-01-339/19.04.2021 г., peг. № ППН-01-344/21.04.2021 г. и peг. № ППН-01-688/09.09.2021 г., подадени срещу дружеството
от К.П. ***, са обявени за основателни за нарушение на принципа на отчетност,
закрепен в чл. 5, § 2от Общия регламент относно защитата на данните (ОЗРД) и на
основание чл. 58, §2, б. „б“ от ОРЗД по отношение на „Д.С.“ ЕООД е отправено
официално предупреждение, че с операциите по обработване на личните данни на К.П.
е нарушило принципа за отчетност, закрепен в чл. 5, §2 от регламента, според
който администраторът е длъжен да докаже спазване на принципите за обработване
на личните данни на жалбоподателя, посочени в чл. 5, § 1 от регламента,
респективно наличието на условията за допустимост на обработването, предвидени
в чл. 6, § 1,6. „б“ и б. „в“ от ОРЗД.
ОСЪЖДА „Д.С.“ ЕООД, ЕИК:*************,
със седалище и адрес на управление гр. **********, ул. „**********“
№ **, вх. „**“,
ет. **, ап. ****,
да заплати на КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ
ДАННИ гр. София сумата от 100,00 /сто/ лева, представляващи разноски за юрисконсултско
възнаграждение.
Решението може да
бъде обжалвано пред Върховния административен съд на Република България в
14-дневен срок от връчването му на страните.
СЪДИЯ:
/Д. Атанасов/