№ 107
Гр. Силистра, 21 ноември 2019 година
В ИМЕТО НА НАРОДА
Административен съд гр. Силистра, в открито съдебно заседание на двадесет и
първи октомври през две хиляди и деветнадесета година, в състав:
Съдия: Елена Чернева
при секретаря Антония Стоянова, като разгледа докладваното от съдията адм.
д № 172 по описа на съда за 2019 г., за да се произнесе, взе предвид следното:
Производството по делото е образувано по жалба на Ж.Д.Ж.
с ЕГН – ********** *** против незаконосъобразни действия на административен
орган - Община Силистра, в качеството на администратор на лични данни,
изразяващи се в разкриване и разпространение на личните данни на
жалбоподателката без нейно знание и съгласие - три имена, ЕГН и местожителство,
извършено чрез публикуване на Заповед № ЗК-1080 от 25. 06. 2019 г. на кмета на
Община Силистра, касаеща жалбоподателката, в сайта на общината в периода 25.
06. 2019 г. – 10. 07. 2019 г. Освен установяването на нарушението,
жалбоподателката предявява и иск за заплащане на обезщетение в размер на 4000
лева за претърпени неимуществени вреди – стрес, безпокойство, уплаха и уронване
на авторитета в резултат от неправомерното оповестяване на данните ѝ.
Претендира и присъждане на разноски по делото.
Ответникът по
оспорването Община Силистра, чрез упълномощения процесуален представител адв.
Д. К. ***, оспорва жалбата и предявения иск. Твърди, че действията на общината
по публикуване на посочената заповед са продиктувани от необходимостта от
изпълнение на задължения по закон. Оспорва обстоятелството, че ищцата е
претърпяла вреди в резултат на оповестяването на данните ѝ и счита, че
размерът на претенцията за обезвреда е силно завишен.
Съдът, след преценка на събраните по делото
доказателства, доводите и становищата на страните, приема за установено
следното:
Подадената жалба е редовна и допустима. Производството
в частта относно оспорването на законосъобразността на действията на ответника
при обработването на личните данни на жалбоподателката е по реда чл. 145 от сл.
от АПК, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и чл.
79 от РЕГЛАМЕНТ (ЕС) 2016/679 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА от 27 април
2016 година относно защитата на физическите лица във връзка с обработването на
лични данни и относно свободното движение на такива данни и за отмяна на
Директива 95/46/ЕО (навсякъде по-долу - Регламент (ЕС) 2016/679). При условията
на чл. 204, ал. 2 АПК е предявена и искова молба за заплащане на обезщетение за
вреди по чл. 39, ал. 2 ЗЗЛД във вр. с чл. 82 от Регламент (ЕС) 2016/679. Надлежен
ответник по това оспорване е лицето, което има качество на администратор на
лични данни по смисъла на чл. 4, §7 от Регламент (ЕС) 2016/679 - „администратор"
означава физическо или юридическо лице, публичен орган, агенция или друга
структура, която сама или съвместно с други определя целите и средствата за
обработването на лични данни.В случая това е Община Силистра.
Страните не спорят относно фактите по делото. Видно е,
че със Заповед № ЗК-1080 от 25. 06. 2019 г. на кмета на Община Силистра,
постановена на основание чл. 99б от Закона за гражданската регистрация (ЗГР), е
заличена адресната регистрация по постоянен адрес *** на 16 лица, в това число
и на жалбоподателката (л. 29-30).
Заповедта е публикувана на сайта на общината на 25. 06. 2019 г., като трите имена,
единните граждански номера и адресите на лицата са публикувани в цялост. Успоредно
с публикуването на заповедта, същата е изпратена на лицата, чиято адресна
регистрация е заличена, като за жалбоподателката това е станало заедно с писмо
с изх. № 1969 / 27. 06. 2019 г.,
получено от нея на 29. 06. 2019 г. (л. 28-31). В началото на м. юли от свой
познат Ж.Ж. е разбрала, че заповедта е публикувана на сайта на общината. На
следващия ден е посетила отдел ГРАО, като е обърнала внимание на служителката,
че тази заповед я компрометира. По този повод заповедта е била свалена от сайта
на 10. 07. 2019 г.
Легалната дефиниция за лични данни се съдържа в 4, § 1
от Регламент (ЕС) 2016 /679 - „лични данни" означава всяка информация,
свързана с идентифицирано физическо лице или физическо лице, което може да бъде
идентифицирано. В същата разпоредба е уточнено, че идентифицирането може да
стане чрез идентификатор като име, идентификационен номер, данни за
местонахождение, онлайн идентификатор или по един или повече признаци,
специфични за физическата, физиологичната, генетичната, психическата,
умствената, икономическата, културната или социална идентичност на това
физическо лице. Предвид това настоящият състав намира, че комбинацията от трите
пълни имена, ЕГН и адреса на жалбоподателката представляват лични данни по
смисъла на цитираната разпоредба, тъй като са достатъчно индивидуализиращи в
степен да същата да бъде идентифицирана.
Съгласно 4 § 2 от Регламент (ЕС) 2016 /679 "обработване“
означава всяка операция или съвкупност от операции, извършвана с лични данни
или набор от лични данни чрез автоматични или други средства като събиране,
записване, организиране, структуриране, съхранение, адаптиране или промяна,
извличане, консултиране, употреба, разкриване чрез предаване, разпространяване
или друг начин, по който данните стават достъпни, подреждане или комбиниране,
ограничаване, изтриване или унищожаване. Публикуването в интернет на документ,
съдържащ лични данни, изпълва признаците на разпространение, поради което представлява
обработване по смисъла на регламента.
Съгласно разпоредбата на чл. 6 §1 от Регламент (ЕС)
2016 /679 обработването на лични данни е законосъобразно, само ако и доколкото
е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване
на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на
договор, по който субектът на данните е страна, или за предприемане на стъпки
по искане на субекта на данните преди сключването на договор;
в) обработването е необходимо за спазването на
законово задължение, което се прилага спрямо администратора;
г) обработването е необходимо, за да бъдат защитени
жизненоважните интереси на субекта на данните или на друго физическо лице;
д) обработването е необходимо за изпълнението на
задача от обществен интерес или при упражняването на официални правомощия,
които са предоставени на администратора;
е) обработването е необходимо за целите на легитимните
интереси на администратора или на трета страна, освен когато пред такива
интереси преимущество имат интересите или основните права и свободи на субекта
на данните, които изискват защита на личните данни, по-специално когато
субектът на данните е дете.
Според съда в процесния случай не се установява
наличието на нито една от посочените хипотези, които дават право на
администратора на лични данни да ги разпространява и разкрива публично чрез
публикация на сайта си и да ги съхранява там. Това е така, защото за общината
не съществува задължение, произтичащо от ЗГР, да публикува издадената заповед
по реда на чл. 99б ЗГР. Публикуването на заповедта би било оправдано само в
хипотезата на чл. 18а, ал. 10 от АПК, предвиждаща, че когато адресатът на акта
не може да бъде намерен, е допустимо съобщението да се постави на таблото за
обявления или в Интернет страницата на съответния орган. Настоящият случай е
различен, тъй като жалбоподателката е получила лично изпратеното ѝ
съобщение за постановяването на заповедта. Дори обаче посочената хипотеза да е
изпълнена по отношение на останалите субекти, засегнати от заповедта,
публикуването следваше да е извършено при спазване на принципите за „ограничение
на целите“ и „свеждане на данните до минимум“, визирани в чл. 5, § 1, б. „б“ и
„в“ от Регламент (ЕС) 2016 /679, като при оповестяването се заличат изцяло
личните данни на онези, на които заповедта е връчена лично, а данните на
останалите се псевдонимизират до степен да не могат да се свързват повече с
конкретен субект, без да се използва допълнителна информация. Посочените
принципи са мотивирани в съображение 39 от преамбюла на регламента, съгласно
което: всяко обработване на лични данни
следва да бъде законосъобразно и добросъвестно; личните данни следва да са
адекватни, релевантни и ограничени до необходимото за целите, за които се
обработват; личните данни следва да се обработват по начин, който гарантира
подходяща степен на сигурност и поверителност на личните данни, включително за
предотвратяване на непозволен достъп до лични данни и до оборудване за тяхното
обработване или за предотвратяване на използването им. В разрез с посоченото
личните данни на жалбоподателката и на още 15 лица са обработени чрез
публикуването им в интернет, което е предоставило възможност на неограничен
кръг потребители на сайта да се запознаят с тях. Посоченото съставлява
нарушение на Регламент (ЕС) 2016 /679, даващо право на засегнатото лице да
търси съдебна защита съгласно чл. 39, ал. 1 от ЗЗДЛ във вр. чл. 79 от
регламента.
С оглед изложеното съдът намира, че предявената жалба е
основателна, поради което следва да се обяви за незаконосъобразно действието на
ответника по неправомерно обработване на личните данни на Ж.Ж., тъй като същите
са обработени в нарушение в чл. 5, § 1, б. „б“ и „в“ от Регламент (ЕС) 2016
/679. Тъй като действието вече е преустановено, следва да бъде призната за
установена неговата незаконосъобразност (в този смисъл Решение № № 3916 от 27.03.2018 г. на ВАС по
адм. д. № 13480/2016 г., V о., Определение № 927 от 23.01.2019 г. на ВАС по
адм. д. № 13512/2018 г., V о.)
Искът на Ж.Ж. за заплащане на обезщетение за
неимуществени вреди е допустим, но силно завишен по размер. Съгласно чл. 82 от
Регламент (ЕС) 2016 / 679 всяко лице, което е претърпяло материални или
нематериални вреди в резултат на нарушение на регламента, има право да получи
обезщетение от администратора или обработващия лични данни за нанесените вреди;
администраторът, участващ в обработването на лични данни, носи отговорност за
вреди, произтичащи от извършеното обработване, което нарушава настоящия
регламент. Макар посочената разпоредба да има пряко действие, същата е транспонирана в чл. 39, ал. 2 от ЗЗЛД, предоставящ възможност на физическите лица да
поискат обезщетение за претърпени вреди вследствие неправомерното обработване
на лични данни от страна на администратора. За да възникне отговорността по
цитираните текстова, следва да се установи, че данните са обработени от
администратора неправомерно, за физическото лице са настъпили вреди с
имуществен или неимуществен характер и причинна връзка между неправомерното
обработване на данните и вредите. В случая несъмнено е налице неправомерното
обработване на личните данни на лицето. Вредите, които жалбоподателката твърди
че е преживяла, са стрес, безпокойство, уплаха и уронване на авторитета в
резултат от неправомерното оповестяване на данните ѝ. За доказване на
посочените твърдения жалбоподателката се позовава на показанията на една
свидетелка – Д. С., разпитана в с. з. на 21. 10. 2019 г. От разпита на
свидетелката се установява, че действително Ж. Ж. е била ядосана, че данните
ѝ са на показ, и притеснена, че някой може да злоупотреби с тях, т. е.
налице са доказателства евентуално за претърпян стрес и безпокойство. Тази
свидетелка обаче акцентира в показанията си, че проблемите на Ж. Ж. с общината
по повод адреса ѝ датират от четири години. От начина на структуриране на
изявлението ѝ по-скоро се налага извода, че действително жалбоподателката
е била притеснена някой да не злоупотреби с личните ѝ данни, но
останалите неприятни усещания са свързани по-скоро с факта на заличаване на
адресната ѝ регистрация. В този смисъл съдът намира, че действително Ж. Ж.
е изпитала притеснения от факта, че данните ѝ са публикувани, което
съставлява претърпяна вреда от поведението на ответника, но интензитета на
вредите и липсата на други вредни последици не оправдават определяне на
обезщетение по-голямо от 400. 00 лева. В останалата част претенцията за
обезвреда е неоснователна и следва да се отхвърли.
Относно отговорността за разноски: Ж. Ж., чрез адв. П.,
е направила искане за присъждане на разноски по делото в хода на съдебните
прения. Разноските, които същата е направила в производството възлизат на 20.
00 лева и са формирани от платената държавна такса. От тях Община Силистра
следва да бъде осъдена да заплати 11. 00 лева, предвид цялостното уважаване на
жалбата и уважаването на иска за вреди
до 1/10 от претендирания размер. Макар искът за обезщетение да е
отхвърлен в по-голямата си част, ответната страна няма право на разноски.
Аргументите за това произтичат от факта, че за неуредените въпроси в производствата за обезщетения по АПК се
прилагат правилата на ЗОДОВ. Отговорността за разноските в производствата по
ЗОДОВ е регламентирана в чл. 10 от закона. Съдебната практика е категорична, че
в хипотезите на ал. 2 и 3 от цитирания текст, при пълно или частично отхвърляне
на претенцията, е изключено присъждане на адвокатско или юрисконсултско
възнаграждение. С това разрешение се изпълнява посочената в решението С. срещу
България необходимост съдебните разноски по дела за отговорността на държавата
да бъдат "под специален режим, с цел да се гарантира ефективно на
заинтересованите, достъп до въпросната процедура", т. 59.
Макар адв. Е.П. ***, упълномощена от Ж. Ж., да е
осъществила безплатно процесуално представителство съгласно чл. 38, ал. 1, т. 2
от Закона за адвокатурата, същата не е отправила своевременно искане до съда да
ѝ бъде присъдено адвокатско възнаграждение съгласно чл. 28, ал. 2 ЗА.
По изложените съображения и на основание чл. 172, ал.
2 от АПК съдът
Р Е Ш И:
ПРИЗНАВА ЗА УСТАНОВЕНО, че Община Силистра, ЕИК
*********, в качеството на администратор на лични данни, в нарушение на чл. 5,
§ 1, б. „б“ и „в“ от РЕГЛАМЕНТ (ЕС) 2016/679 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА
СЪВЕТА от 27 април 2016 година относно защитата на физическите лица във връзка
с обработването на лични данни и относно свободното движение на такива данни и
за отмяна на Директива 95/46/ЕО, е
разкрила и разпространила личните данни - три имена, ЕГН и местожителство на Ж.Д.Ж.
с ЕГН – ********** ***, без нейно знание и съгласие, посредством публикуване на
Заповед № ЗК-1080 от 25. 06. 2019 г. на кмета на Община Силистра в сайта на
общината в периода 25. 06. 2019 г. – 10. 07. 2019 г.
ОСЪЖДА Община Силистра, ЕИК *********, представлявана
от кмета Ю.Н., да заплати на Ж.Д.Ж. с ЕГН – ********** ***, сумата 400. 00
(четиристотин) лева, представляваща обезщетение за претърпените от нея
неимуществени вреди в следствие на извършено нарушение от общината на чл. 5, §
1, б. „б“ и „в“ от РЕГЛАМЕНТ (ЕС) 2016/679 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 27 април 2016 година относно защитата на физическите лица във връзка с
обработването на лични данни и относно свободното движение на такива данни и за
отмяна на Директива 95/46/ЕО, ведно със законната лихва върху сумата, считано
от 15. 07. 2019 г. до окончателното изплащане, както и разноските по делото в
размер на 11. 00 (единадесет) лева.
ОТХВЪРЛЯ като недоказан предявения иск по чл. 39, ал.
2 ЗЗЛД в останалата му част – за разликата над 400. 00 лева.
Решението подлежи на обжалване пред Върховен
административен съд на Република България в 14-дневен срок от съобщаването му
на страните.
СЪДИЯ: