Решение по адм. дело №1085/2025 на Административен съд - Хасково

Производството е по реда на чл. 145 и сл. от АПК във вр. с чл. 38 ал. 8 във вр. с ал. 3 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба на "Финпласт“ ООД с [ЕИК] против решение № ППН-01-702/2023 г. от 13.02.2025 г. на Комисията за защита на личните данни /КЗЛД или Комисията/, с която жалбата с peг. № ППН-01-702/21.08.2023 г., подадена срещу дружеството-жалбоподател от Е. В. Я. и И. П. Т. е обявена за основателна и на дружеството е наложена на основание чл. 83, § 5, б. „а“ вр. с чл. 58, § 2, б.“и“, имуществена санкция в размер на 10 000 лв. за нарушение на чл. 6, § 1 от Регламент (ЕС) 2016/679.

В жалбата се оспорва, че можело да се направи обоснован извод че личните данни били обработени без да е налице някое от условията за обработването им, а именно нямало съгласие за обработването на личните данни, обработването не било необходими за сключването на договор или за спазване на законово задължение, нито било необходимо за защита на жизненоважни интереси на субекта на данни или друго физическо лице и че обработването не било необходимо за защита на легитимни интереси на администратора. Излага се фактическа обстановка, при която лицата Я. и Т. са предоставили личните си данни за сключване на трудови договори, но същите не са се явили за да ги подпишат, поради което действали недробосъвестно. Оспорват се изводите на КЗЛД че липсва нормативно изискване за изпълнение на законовото задължение по чл. 62 от КТ. Възразява се срещу обстоятелствата, приети за такива отегчаващи отговорността. Затова се прави искане обжалваното решение да бъде отменено. Прави се искане за разноски.

В съдебно заседание жалбоподателят изпраща представител по пълномощие, който поддържа жалбата, представя доказателства и моли решението на КЗЛД да бъде отменено по изложените в жалбата съображения. В писмена защита коментира събраните гласни доказателства, а именно че двете лица добровлно са представили личните си данни за целите на изготвянето на трудовите договори, както и са почерпили дивиденти от този факт, тъй като дружеството е заплащало осигуровки по техните партиди. Изтъква се аргумент, че от свидетелските показания се установява, че тъй като много дълго време двете лица са поддържали у представляващия дружеството желанието си да сключат трудовите си договори, това оправдава 7 месечното забавяне. В обобщение се моли за отмяна на оспорваното решение тъй като Е. Я. и И. Т. доброволно са предоставили личните си данни, обработването на личните им данни е било извършено в изпълнение на законово задължение, а именно това за добросъвестност при водене на преговори и сключване на договори по чл. 12 от ЗЗД, обработването било законосъобразно, поради изпълнение на преддоговорни задължения, обработването било необходимо, за да се защитят трудови и осигурителни права на субектите на данните и обработването било необходимо за целите на легитимните интереси на администратора в качеството му на работодател.

Ответникът - Комисия за защита на личните данни - не изпраща представител в съдебно заседание. В писмено становище, подадено от процесуален представител, оспорва основателността на жалбата по подробно изложени съображения, които кореспондират с мотивите на решението като прави искане за отхвърлянето й, както и да бъдат присъдени разноски за юрисконсултско възнаграждение. Прави възражение за прекомерност на адвокатското възнаграждение.

Заинтересованите лица Е. В. Я. и И. П. Т. не се явяват, не се представляват по делото и не взимат отношение по основателността на жалбата.

От ответника е представена административната преписка по издаване на оспорения акт.

Съдът, след като обсъди становищата на страните и събраните по делото доказателства, приема за установено следното от фактическа страна:

Административното производство е образувано по жалба с peг. № ППН-01-702/21.08.2023 г., от Е. В. Я. и И. П. Т., с копие до Районна прокуратура Хасково, ТД на НАП Пловдив, офис Хасково, Инспекция по труда Хасково. В същата жалбоподателите твърдят, че при извършена проверка от НОИ Хасково се констатирало че Я. и Т. били назначени във „Финпласт“ ООД за периода 15.11.2022 г. до съответно 26.06.2023 г. за Я. и 27.06.2023 г. за Т., без същите да са сключвали трудови договори с дружеството, без да са полагали труд за него и без да са получавали възнаграждение.

От представените Решения № 1012-26-210-3/08.08.2023 г. и № 1012-26-209-4/09.08.2023 г. на директор на ТП на НОИ Хасково е видно, че с разпореждане № РВ-3-26-01346413/03.05.2023 г. и РВ-3-26-01346420/03.05.2023 г. на ръководител на „Контрола по разходите ДОО“ при ТП на НОИ Хасково на Е. Я. е разпоредено връщането на добросъвестно получено обезщетение при нетрудова злополука за периодите съответно от 07.12.2022 г. до 21.12.2022 г. в размер на 286, 80 лв. и 13.02.2023 г. до 14.03.2023 г. в размер на 597,08 лв. При проверка органите били установили, че от ЕТ „ЕДИ-Е. Я.“ [населено място] били постъпили приложение № 9 от НПОПДОО за изплащане на болнични листи издадени съответно за периода 07.12.2022 до 21.12.2022 г. и за периода 13.02.2023 г. до 14.03.2023 г., но за същите периоди данни за издадени болнични листи за осигурителя на лицето "Финпласт“ ООД не били подадени, поради което административния орган приел, че е полаган труд за друг осигурител и обезщетение по представените болнични листи не се е следвало.

По този повод ТП на НОИ Хасково извършило проверка на "Финпласт“ ООД, при която се установило, че от страна на дружеството бил представен Трудов договор № 12/15.11.2022 г. с Я., за длъжност –монтажник дограма, с възнаграждение 355 лв. на 4 часов работен ден, който не бил подписан от работника, както и уведомлението по чл. 62, ал. 5 от КТ, в което също липсвал подпис на работника. В трудовото досие на Я. се съхранявала и заповед за прекратяване на трудовото правоотношение № 6/27.06.2023 г. без същата да била подписана от работника.

В изисканите разплащателни ведомости нямало подпис на работника. В обясненията си управителя на "Финпласт“ ООД, посочил че лицето е изразило желание за започване на работа, но не се е явило.

Директорът на ТП на НОИ Хасково, с посочените по-горе решения отменил разпореждания с № РВ -3-26-01346413/03.05.2023 г. и № РВ-3-26-01346420/03.05.2023 г. на ръководител на „Контрола по разходите ДОО“ при ТП на НОИ Хасково.

При подадена жалба от лицето И. П. Т. се установило, че В ТД на НАП било подадено уведомление от страна на "Финпласт“ ООД , за сключен трудов договор с лицето И. П. Т. за периода 15.11.2022 г. до 27.06.2023 г.

ОТ Протокол за извършена проверка № ПР2328857/31.08.2023 г. се установява, че трудов договор № 11/15.11.2022 г., сключен между "Финпласт“ ООД с [ЕИК] и И. П. Т. не бил подписан от Т., същият не бил положил подписи нито в книгата за инструктаж, нито във ведомостите за заплати, нито в заповедта за прекратяване на трудовото правоотношение. Дадени са предписания за изпращане от страна на "Финпласт“ ООД с [ЕИК] за заличаване на данните.

Видно от Протокол № ПО-16002623094341/29.09.2023 г. са внасяни осигуровки за И. П. Т. за месеците от 11.2022 г. до 06.2023 г.

С оглед изясняване на твърденията в жалбите, от страна на КЗЛД до "Финпласт“ ООД било отправено писмо, с което било указано, че дружеството има възможност да представи писменото си становище по изложените в жалбите факти и обстоятелства, ведно с относимите доказателства. В отговор постъпило писмено становище от С. Н. В. – управител и представляващ Финпласт ООД с вх. № ППН-01-702-#5/16.10.2023 г. като признание на неизгодни факти се установява, че дружеството е подало уведомление за сключени трудови договори с Е. В. Я. и И. П. Т. съответно № 12/15.11.2022 г. и № 11/15.11.2022 г., без двете лица да са положили подписите си върху договорите. Установява се още в условията на признание на неизгоден факт, че двете лица не са извършвали трудова дейност за дружеството и затова договорите им са прекратени.

Отправени са писма до Национална агенция за приходите, от които се установява, именно че и за двете лице са подадени уведомления за сключени договори и за прекратяване на договорите, като видно от писмо на ЦУ на НАП до КЗЛД с вх. № ППН-01-702#4/13.10.2023 г. за двете лица били подадени уведомления за заличаване относно всички подадени уведомления от страна на "Финпласт“ ООД.

С писмо с вх. № ППН-01-702#12/23/22.08.2024 г. са постъпили справки за наличните данни за сключени трудови договори за лицата И. П. Т. и Е. В. Я. към 21.08.2024 г., в които не фигурира дружеството жалбоподател.

Видно от извлечение на протокол № 30 от 24.07.2024 г. за проведено на същата дата редовно заседание на КЗЛД /л. 24-39 от делото/, подадената от Е. В. Я. и И. П. Т. жалба е приета за редовна и допустима, конституирани са двете лица и ответната страна – дружеството жалбоподател и е разпоредено изпращането на писма от дирекция „Правни производство и надзор“.

На 20.11.2024 г. било проведено второ заседание на комисията, за което страните били редовно уведомени по реда на АПК, в което жалбите били разгледани по същество и единодушно било взето решение жалбата да се обяви за основателна и на основание чл. 58, § 2, б. „и“ на "Финпласт“ ООД да се наложи имуществена санкция в размер на 10 000 лв. за нарушение на чл. 6, §1 от Регламент ЕС 2016/679, като бил даден срок до 16.12.2024 г. за изготвяне на решението.

На 13.02.2025 г. било изготвено решение № ППН-01-702/2023, в което били изложени мотивите за взетото решение и била наложена имуществената санкция на "Финпласт“ ООД. В него комисията приела, че жалбата е допустима като подадена от лица с правен интерес срещу лице –администратор на лични данни по смисъла на чл.4, ал. 7 от Общия Регламент (ЕС) 2016/679 по отношение на жалбоподателите и същата била подадена в срок.

Прието е, че от така установената фактическа обстановка можело да се направи обоснован извод за нарушение на чл. 6, § 1 от Регламент (ЕС) 679/2016, доколкото личните данни на жалбоподателите били обработени без да е налице някое от условията за законосъобразност на обработването. С оглед на което Я. и Т. не са дали съгласие за обработване на личните им данни; обработването не е било необходимо за изпълнение на договор, поради факта, че между страните не е имало сключено писмено споразумение; обработването не е било необходимо за спазване на законово задължение, което се прилага спрямо администратора доколкото същият не доказа да е работодател на жалбоподателите; обработването не е било необходимо, за да бъдат защитени жизненоважните интересни на субекта на данни или на друго физическо лице; обработването не е било необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, които са предоставени на администратора; обработването не е било необходимо за целите на легитимните интереси на администратора или на трета страна.

Приема се още, че не било налице нормативно установено задължение на дружеството по чл. 62, ал. 3 от КТ, тъй като дружеството нямало качеството на работодател и осигурител по отношение на Я. или Т. за подаване на уведомление по чл. 62, ал. 3 от КТ и декларации за осигурено лице съдържащи лични данни на жалбоподателя, поради което следвало жалбата да се уважи и комисията от правомощията си по чл. 58, пар. 2 от Регламент 2016/679 счела за най-целесъобразно налагането на имуществена санкция при отчитане на особеностите на конкретния случай и степента на засягане на интересите на субекта на данни, както и на обществения интерес. Като смекчаващи отговорността обстоятелства били приети обстоятелствата, че нарушението било първо за администратора, който бил микропредприятие, както и че дружеството съдействало на Комисията при изясняване на преписката от правна и фактическа страна. А като отегчаващи отговорността обстоятелствата, били приети фактите че били обработени данни за единен граждански номер на лицата, че резултат на регистрацията са ограничени правата на жалбоподателите и продължителността на нарушението е над седем месеца, като и че нарушението е допуснато спрямо две лица. Констатирано било и че информацията била обработена не само с цел да сключи договор, но с цел да използва данните за обогатяване, като трудовите договори били прекратени в резултат на контролна дейност на друг държавен орган.

Решението на КЗЛД е връчено на дружеството на 18.02.2025 г., а жалбата срещу него е постъпила на 27.02.2025 г.

В хода на съдебната фаза на производството бяха събрани гласни доказателства. Съдът прецени показанията на свидетелите В. В. и В. Г. дадени в съдебно заседание като обективни и истинни, като отчете връзката на лицата с дружеството жалбоподател, но показанията им кореспондират както с извънсъдебните признания на страната на неизгодни за нея факти, така и с писмените доказателства по делото и съдът не намери основание да се съмнява в правдивостта им. От тях се установява, че двете лица Я. и Т. се занимавали с монтаж на дограма, какъвто бил и предмета на дейност на дружеството жалбоподател. Свид. Г. свързал лицата с представителя на дружеството и първоначално те изразили съгласие да започнат работа и представили личните си данни, но в последствие не потвърдили това свое желание, не изразявали готовност нито да подпишат договорите си, нито се явили на работа, като дружеството многократно полагало усилия да ги покани за да започнат работа и да подпишат договорите си, но Я. и Т. не откликнали.

Въз основа на установената фактическа обстановка и като извърши проверка по наведените в жалбата доводи за отмяна на процесния индивидуален административен акт, така и за наличието на всички основания по чл. 146, във вр. с чл. 168, ал. 1 от АПК, съдът достигна до следните правни изводи:

Жалбата е подадена против индивидуален административен акт, подлежащ на съдебен контрол, от надлежно легитимирано лице и в срока по чл. 149, ал. 1 от АПК, вр. с чл. 84, ал. 1 от ЗЗЛД, поради което е процесуално допустима.

Разгледана по същество, жалбата е основателна.

Производството пред КЗЛД е образувано след сезиране по чл. 38, ал. 1 от ЗЗЛД. Към момента на подаване на жалбата от Е. В. Я. и И. П. Т. не е бил изтекъл предвидения в чл. 38 ал.1 от ЗЗЛД срок, тъй като същите касаят нарушения в периода 15.11.2022 г. -26.06.2023 г., а жалбата е подадена 21.08.2023 г.

В разпоредбата на чл. 6 от ЗЗЛД е посочено, че Комисията за защита на личните данни, е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) и на този закон. Правомощията на КЗЛД произтичат и от разпоредбите на чл. 51 и чл. 55 от Регламент /ЕС/ 2016/679, съгласно които всяка държава-членка осигурява един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент, за да се защитят основните права и свободи на физическите лица във връзка с обработването и да се улесни свободното движение на личните данни в рамките на Съюза ("надзорен орган").Всеки надзорен орган е компетентен да изпълнява задачите и да упражнява правомощията, възложени му в съответствие с регламента, на територията на своята собствена държава членка.

Като надзорен орган по защита на личните данни на територията на Република България, в разглеждания случай с оспореното решение КЗЛД е упражнила своите правомощия по чл. 38 във вр. с чл. 84 от ЗЗЛД във вр. с чл. 58, параграф 2, б. "б" от Регламент (ЕС) 2016/679. Предпоставките за това са били налице, предвид извършеното уведомяване на комисията от субект на данни, какъвто без съмнение са и двете лице Я. и Т., за нарушаване на правата им по цитирания регламент и по ЗЗЛД. Затова в правомощията на Комисията е да се произнесе за допуснати нарушения и да прилага мерките по чл. 58, параграф 2, букви "а" - "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета - чл. 38, ал. 3 от ЗЗЛД.

На основание чл. 9, ал. 4 във връзка с ал. 3 от ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й /чл. 7, ал. 1 от ЗЗЛД - председател и членове; чл. 4, ал. 1 от Правилника за дейността на КЗЛД при проведено открито заседание. Същото следва да бъде подписано от всички членове, участвали в гласуването. Видно от представения Протокол № 47/20.11.2024 г. на последното проведено заседание присъстват председателя В. К. и членовете Ц. Ц. и В. Ц.. Решението е взето с единодушие и председателят, и членовете на КЗЛД са положили подписите си под оспорваното решение. Предвид това, съдът счита, че актът е постановен от компетентен орган и не е налице отменителното основание по чл. 146, т. 1 АПК.

Оспорваният акт съдържа реквизитите по чл. 59, ал. 2 от АПК. Комисията е уведомила всички надлежни страни за образуваното производство и за датата на разглеждане на жалбите в открито съдебно заседание, като им е предоставила възможност за запознаване с материалите по преписката, изразяване становище по изложените в жалбата твърдения, вкл. и други относими към спора доказателства.

Приложените по делото препис-извлечение на протоколи от проведени заседания на КЗЛД съответстват на разпоредбите на Правилника за дейността на КЗЛД, като в тях са посочени: датата и мястото на провеждане на заседанието, присъстващите членове на комисията и служители от администрацията, приетият дневен ред, направените по него изказвания и взетите решения.

Въз основа на всичко изложено съдът приема, че оспореното решение, като взето с изискуемото мнозинство и подписано от лицата, участващи в гласуването на 20.11.2024 г. не е постановено при допуснато съществено нарушение на административно-производствените правила. Следователно, не е налице основание за отмяна на атакувания ИАА по смисъла на чл. 168, ал. 1 във връзка с чл. 146, т. 3 от АПК.

По материалният закон:

Трудовоправните отношения са уредени в Кодекса на труда /КТ/. Трудовият договор се сключва в писмена форма между работника или служителя и работодателя преди постъпването на работа /чл. 61, ал. 1 и чл. 62, ал. 1 от КТ/. Трудовият договор съдържа данни за страните /чл. 66, ал. 1,т. 1 от КТ/. В § 1, т. 10, б. "в" от ДР на КТ са посочени данните, които следва да съдържа трудовия договор за работник или служител: името на лицето, постоянния адрес, единния граждански номер /личния номер - за чужденец/, вида и степента на притежаваното образование, както и данни за притежаваната научна степен, ако е свързана с изпълняваната от него работа. Съгласно чл. 62, ал.3 от КТ в тридневен срок от сключването или изменението на трудовия договор и в седемдневен срок от неговото прекратяване работодателят или упълномощено от него лице е длъжен да изпрати уведомление за това до съответната териториална дирекция на Националната агенция за приходите /НАП/. Трудовият договор се прекратява без която и да е от страните да дължи предизвестие по взаимно съгласие на страните, изразено писмено, като страната, към която е отправено предложението, е длъжна да вземе отношение по него и да уведоми другата страна в 7-дневен срок от получаването му. Ако тя не направи това, смята се, че предложението не е прието /чл.325, ал.1 от КТ/.

Обработването на лични данни е законосъобразно в определени от закона случаи. Съгласно чл. 6, т. 1 от Регламент 2016/679 обработването е законосъобразно когато: a/ субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б/ обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор и в/ обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора.

По делото не се спори, че "Финпласт“ ООД е администратор на лични данни съгласно чл. 4, т. 7 от Регламент (ЕС) 2016/679, във вр. § 1, т. 2 от ДР на ЗЗЛД, поради което е адресат на задълженията, предвидени в ЗЗЛД.

Установява се от разпитите на свидетелите, че заинтересованите лица доброволно са предоставили личните си данни на дружеството за целите на сключване на трудов договор между тях.

Такъв договор обаче не е сключван, тъй като не е подписан от работниците и същите не са осъществявали трудова дейност в дружеството.

Не е спорно, че дружеството-жалбоподател е подало следните уведомления: Уведомление по чл. 62, ал. 5 от КТ за сключени трудови договори с Е. В. Я. и И. П. Т., и уведомления по чл. 62, ал. 5 от КТ за прекратени сключени трудови договори с Е. В. Я. и И. П. Т..

Съгласно чл. 5 т. 2 от Наредба № 5 от 29.12.2002 г. за съдържанието и реда за изпращане на уведомлението по чл. 62, ал. 5 от Кодекса на труда, изд. от Министъра на труда и социалната политика (в редакцията ѝ действаща към момента на подаване на уведомленията), уведомлението съдържа данни за работника или служителя - трите имена и единен граждански номер (личен номер, личен номер на чужденец), служебен номер, издаден от НАП.

Следователно, чрез подаването на цитираните уведомления дружеството е предало личните данни на Е. В. Я. и И. П. Т., разбирани като такива по смисъла на чл. 4 т. 1 от Регламента.

Спорът между страните е съсредоточен върху това дали обработването на личните данни на двете лица е законосъобразно, като според КЗЛД то не е такова, доколкото личните данни на физическото лице са разпространени /предоставени/ пред НАП, без за администратора да е възникнало законово задължение за това по смисъла на чл. 62 ал. 5 от КТ и следователно - при отсъствието на условията за допустимост, предвидени в чл. 6, § 1,б. „а“, "б" и "в" от Регламента, а именно: 1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

- субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели

- обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

- обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора.

Обратно, дружеството-жалбоподател счита, че тези условия са били налице, предвид инициираното договаряне на трудово правоотношение между него и Е. В. Я. и И. П. Т.. Позовава се и на условието за допустимост на обработване на лични данни, визирано в разпоредбата на чл. 6, § 1, б. "а" от Регламента, съгласно което обработването е законосъобразно, ако субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели.

Съдът намира тези доводи на жалбоподателя за неоснователни.

Съгласно чл. 4 т. 2 от Регламент (ЕС) 2016/679 и § 1, т. 4 от ДР на ЗЗЛД "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

След като двете лица доброволно са предоставили личните си данни на дружеството-администратор за целите на сключване на трудов договор между тях, все още не са били налице условията, предвидени в чл. 6, § 1, б. "а" от Регламента, тъй като в крайна сметка те не са се съгласили да сключат трудов договор и между тях и дружеството да възникнат трудови правоотношения. Установява се, че лицата не са дали съгласие тези данни да бъдат обработени, тъй като явно не са постигнали съгласие с дружеството за параметрите на трудовото правоотношение и така те не са дали съгласието си да бъдат обработени данните за каквито и да било цели. Изразяването на съгласие се свързва с предоставената на субекта на личните данни информация за тяхното използване.

Безспорно се изисква съгласие от страна на работника за сключване на трудовия договор и то е именно индиректното одобрение за обработването на личните му данни в светлината на задълженията на работодателя за изпращане на уведомления по чл. 62, ал. 5 от КТ (действащ в редакцията към момента на подаване на уведомлението (ДВ, бр. 108 от 19.12.2008 г.)). Действително, както посочва и дружеството към момента на подаването на уведомлението дружеството е било задължено да подаде уведомление, но само и единствено ако трудов договор е сключен/прекратен или изменен. Задължението не възниква предварително на сключването му в нито един момент от преддоговорните отношения, а едва след подписването му, поради което е несподеляем и доводът, че "Финпласт“ ООД е изпълнявал свое законово задължение. Не е израз на добросъвестност подаване на данни в ТД на НАП за сключен трудов договор без такъв да е налице и преди възникване на трудовото правоотношение.

Безспорно е, че предаването на личните данни на работника на НАП по реда на цитираните разпоредби на КТ (действащи в предходната им редакция) и Наредба № 5/29.12.2002 г. представлява разпространение на лични данни и за да бъде законосъобразно такова обработване следва да е налице сключване или изменение, респ. прекратяване на трудов договор, каквото в случая няма, тъй като такъв договор не е подписан между страните. Същата предпоставка следва да е налице и ако се приеме за приложима разпоредбата на чл. 6, § 1, б. "б" от Регламента, т.е. дори да се приеме, че работникът е изразил съгласие за предоставяне на данните му на НАП, това съгласие е дадено под условие, че страните сключат трудов договор.

Въз основа на изложеното не могат да се приемат за основателни възраженията в жалбата, според които е възникнало законово задължение за дружеството за обработване на личните данни, тъй като правопораждащия юридически факт на задължението по чл. от КТ (в редакцията от ДВ, бр. 108 от 19.12.2008 г.:) е сключването на трудов договор с лице съгласно да предостави трудовата си сила и респ. личните си данни именно на този работодател. Както беше посочено, липсата на писмен трудов договор води до отсъствие на основната предпоставка за законосъобразното обработване, под формата на разпространение, на личните данни на работника чрез предаването им на НАП.

Затова съдът намира, че КЗЛД правилно е квалифицирала деянието като нарушение на разпоредбите на чл. 6, § 1 от Регламент (ЕС) 2016/679 за законосъобразно обработване на лични данни.

Комисията е преценила, че следва за нарушение на чл. 6, § 1 от Регламент 2016/679 на „Финпласт“ ООД, да наложи имуществена санкция на основание чл. 83§ 5 б. „а“ вр. с чл. 58, § 2, б. „и“ от същия Регламент в размер на 10 000 лв.

Съгласно разпоредбата на чл. 38, ал. 3 ЗЗЛД производството приключва с решение, като КЗЛД може да приложи мерките по чл.58, параграф 2, букви "а" - "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета.

Видно от цитираната разпоредба в правомощията на КЗЛД е да прецени дали да приложи пряко разпоредбите на Регламента (чл.249, §2 ДЕО), като в процесния казус надзорния орган предвид правомощието му по чл. 58, § 2, б. „и“ ОРЗД е приложил разпоредбата на чл. 83, § 5, б. “а“ ОРЗД, налагайки на администратора на лични данни "Финпласт“ ООД имуществена санкция, в съответствие с разписаното в Регламента предвид фактите, установени в хода на административното производство.

Въпреки това съдът намира, че размерът на санкцията е определен произволно без да се обсъдят задълбочено смекчаващите и отегчаващите отговорността обстоятелства и без да се вземе предвид оборота на дружеството, което прави определянето на санкцията незаконосъобразно.

На първо място от отегчаващите отговорността обстоятелства административния орган сочи, че дружеството се е обогатило от обработването на личните данни, които извод е абсолютно произволен и недоказан на фона на извършените осигурителни плащания. На второ място съдът не намира за обоснован извода, че обработването на единния граждански номер, представлява отегчаващо отговорността обстоятелство, тъй като както и останалите лични данни и той е предоставени доброволно от страна на двете заинтересовани лица и неговото вписване е задължително условие за уведомлението за сключвен трудов договор. Не са обсъдени и съответно установени обстоятелствата относно това дали умишлено или по небрежност е било допуснато нарушението както повелява нормата на чл. 83, § 2, б „в“ от ОРЗД.

Същественото процесуално нарушение при определяне на санкцията, обаче е следното: Според чл. 83, § 5, б. „а“ ОРЗД, нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20 000 000 EUR или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока: a) основните принципи за обработване на лични данни, включително условията, свързани с даването на съгласие, в съответствие с членове 5, 6, 7 и 9.

Разпоредбата е със санкционен характер, поради което императивното правило за включването на параметъра „процент от годишен световен оборот за предходната финансова година на предприятието“ при определяне размера на санкцията, трябва да бъде съобразено и приложено недвусмислено от съответния надзорен орган. В случая въпреки дадените правомощия на административния орган с разпоредбата на чл.58, §1, б. „а“, „б“, „д“ и „е“ ОРЗД, КЗЛД не си е направила труда да събере доказателства за оборота на предприятието–администратор на лични данни за предходната финансова година, при което в противоречие с цитираните приложими материалноправни разпоредби е определила произволно размера на наложената имуществена санкция (буквално така Решение № 463 от 16.01.2024 г. по адм. д. № 3520 / 2023 г. на Върховен административен съд) .

При определянето на санкцията не е отчетено обстоятелството, че се касае за микропредприятие и е взета предвид общата стойност на активите, без да се отчита оборота, който е меродавен за определяне на размера на санкцията. (В този смисъл Решение № 174 от 29.11.2023 г. по адм. д. № 202 / 2023 г. на II състав на Административен съд – Видин и Решение № 71 от 30.01.2023 г. по адм. д. № 1506 / 2022 г. на XXII състав на Административен съд - Бургас).

В настоящият случай КЗЛД действа при условията на оперативна самостоятелност да избере мярката по чл. 58 § 1 от ОРЗД, която да наложи, но избраната мярка по б. „и“ е с определен максимум който не е изследван от КЗЛД поради което и съдът не може да обоснове дали избрания размер на имуществената санкция не се явява прекомерен и съобразен ли е с имущественото състояние на наказаното дружество.

В този аспект съдът намира, че следва да отмени оспорваното решение на КЗЛД поради необоснованост на наложената мярка, като жалбата се явява основателна.

По разноските:

С оглед изхода на спора и че жалбоподателят е направил изрично и своевременно искане за разноски още с депозираната жалба, на основание чл. 143, ал. 1 АПК в полза на същия следва да се присъдят такива в размер на 50,00 лв. за внесената държавна такса и сумата [рег. номер]. по договор за правна защита и съдействие от 25.02.2025 г., които доказават направени такива в същия размер с платежно нареждане от 25.02.2025 г.

Воден от горното и на основание чл. 172, ал. 2 от АПК, съдът

 

Р Е Ш И:

 

ОТМЕНЯ решение № ППН-01-702/2023 г. от 13.02.2025 г. на Комисията за защита на личните данни /КЗЛД или Комисията/, с която жалбата с peг. № ППН-01-702/21.08.2023 г., подадена срещу "Финпласт“ ООД с [ЕИК] от Е. В. Я. и И. П. Т. е обявена за основателна и на дружеството е наложена имуществена санкция на основание чл. 83, § 5, б. „а“ вр. с чл. 58, § 2, б.“и“ в размер на 10 000 лв. за нарушение на чл. 6, § 1 от Регламент (ЕС) 2016/679.

 

ОСЪЖДА Комисия за защита на личните данни - [населено място], да заплати на "Финпласт“ ООД с [ЕИК], със седалище и адрес на управление [населено място], [улица], № ***, сумата от 1700,00 /хиляда и седемстотин/ лева, представляващи разноски в производството.

 

Решението може да бъде обжалвано пред Върховния административен съд на Република България в 14-дневен срок от връчването му на страните.