Решение по дело №3029/2023 на Административен съд - Пловдив

Производство по чл. 145 от АПК във връзка с чл. 38 от Закона за защита на личните данни (ЗЗЛД).

Оспорва се Решение на комисията за защита на личните данни (КЗЛД) с изх. № ППН-01-562/2021 г. от 30.08.2022 г. , с което е наложена санкция в размер на 1200,00 лева на основание чл. 83, § 6 от ОРЗД на Е.Д.Р. за неизпълнение на влязло в сила разпореждане, обективирано в т.2 на Решение № ППН-01-562 от 30.08.2022 г. на КЗЛД.

Жалбоподателката Е.Д.Р. ЕГН **********, с адрес ***, не е доволна от решението и моли да се отмени като неправилно и незаконосъбразно. Прави възражения за необоснованост и за постановяване на решението без да се вземат предвид всички обстоятелства. Излага доводи, че от 10.06.2022 г. няма връзка с камерата поради смяна на интернет доставчика. Твърди, че към настоящия момент камерата е премахната, няма направени видеозаписи в cloud услуга, няма и поставена карта.

Ответникът Комисия за защита на личните данни, чрез процесуалния представител К.П., в представено писмено становище, оспорва жалбата. Твърди, че оспорваният акт е правилен и законосъобразен. Претендира разноски и прави възражение за прекомерност на адвокатското възнаграждение.

Съдът, като разгледа становищата и възраженията на двете страни и след преценка на събраните по делото доказателства, намери за установено следното:

Жалбата е подадена от адресат на неблагоприятен за него акт, в 14-дневния преклузивен срок от съобщаване на решението, видно от приложеното съобщение за доставяне на стр. 132 от делото и е срещу подлежащ на обжалване по реда на АПК административен акт.

Поради това жалбата е ДОПУСТИМА.

Разгледана по същество, жалбата е ОСНОВАТЕЛНА.

Производството е започнало по жалба на М.Т. с вх. № ППН-01-562/22.07.2021 г., в която жалба е посочено, че на адрес: гр. Пловдив, бул. „***“ №**, над входната врата на апартамент, собственост на Е.Р., е била монтирана камера за видеонаблюдение без съгласие на етажните собственици.(л.23). По повод на подадената жалба е образувано административно производство в Комисията за защита на личните данни, за което са уведомени подателя на сигнала и Е.Р..

На основание чл. 58, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г,, чл 10, ал. 2, т. 1, чл. 12, ал. 1 и ал. 4 от ЗЗЛД, в изпълнение на Решение на КЗЛД от Протокол № 1/12.01.2022г. и Заповед № РД-15-17/17.01.2022 г. на Председателя на КЗЛД във връзка с постъпила жалба с вх. № ППН-01-562/22.07.2021 г. от М.Т. в качеството й на управител на ЕС срещу Е.Р. относно обработване на лични данни на физически лица посредством система за видеонаблюдение, изградена в жилищна сграда - етажна собственост, находяща се на адрес: гр. Пловдив, бул. „***“ № **, ет. *, ап. **, е извършена проверка, при която е констатирано следното:

Над входната врата на жилището на Е.Р. има изградена система за видеонаблюдение, която се състои от 1 брой камера NovaTek iCam full Hd 1080P WIFI, която разполага c резолюция: 1080P HD, движение: снима на 355°, Wi-fi връзка без нужда от кабели, приема и предава звук, известия за движение, IR сензор за нощно заснемане и слот за SD карта до 64GB, каквато към момента на проверката липсва, тъй като според Р. камерата се ползва само като шпионка и извършва видеонаблюдение само в реално време. Констатирано е, че системата не извършва запис на видеокадри и съответно не съхранява записи с видеокадри.

Установено е, че достъп (отдалечен) до изходящия образ в реално време се осъществява от Е.Р. и от другите двама собственици живущи на четвъртия етаж в сградата: Л.Т.и В.Д.(за което са подписали Декларация за съгласие за осъществяване на видеонаблюдение на етаж. 4, приложена към становището на Р.), осъществяван посредством софтуерно приложение, инсталирано на мобилните им телефони. Описано е, че основанието за извършваното видеонаблюдение е лична безопасност, като системата за видеонаблюдение е изградена на 04.04.2021 г., за което от Р. не е предоставена документация.

Констатирано е също, че камерата е разположена на стената над входната врата на жилището на Р. и заснема подстъпа към входната й врата, стълбището водещо към третия етаж, етажната площадка, стълбището водещо към петия етаж, както и вратата на асансьора. Описано е още, че посредством изградената система за видеонаблюдение се обработват лични данни на живущи, посетители и случайно преминаващи физически лица през четвъртия етаж на сградата. Не се извършва предаване и запис на моментни снимки и видеокадри от образа на отдалечено устройство (FTP/Cloud сървър, E-mail или друго място за съхранение на данни).

При проверката е установено, че системата за видеонаблюдение позволява идентификация на физически лица и не позволява лицево разпознаване на физически лица (посредством осъществяване на достъп до база с данни). Констатирано е, че администраторът е ограничил достъпа до системата за видеонаблюдение посредством потребителско име и парола за достъп до софтуерното приложение, инсталирано на мобилните телефони на Р., Т. и Д..

Резултатите от проверката са описани в Констативен акт № ППН-02-141 от 11.03.2022 г.(л.43).

Последвало е издаване Решение № ППН-01-562/2021г от 30.08.2022 г. на КЗЗЛ, с което жалба ППН-01-562/22.07.2022 г. е обявява за основателна.

Със същото решение-т.2, на основание чл. 58, § 2, буква „г“ за нарушение на чл. 5, § 1, букви „а“ и „в“ от Регламент (ЕС) 2016/679 е издадено разпореждане на Е.Д.Р. да преустанови заснемането на общите части на етажната собственост, като пренастрои обхвата на камерата, а ако това е невъзможно, да я демонтира, със срок - един месец от влизане в сила на решението, след което да уведоми комисията за изпълнението като представи съответните относими доказателства.

Е. Р. е уведомена за решението на 07.11.2022 г., видно от приложено по преписката „Преглед за получено съобщение“(л.92).

В КЗЛД е постъпило писмо адв. М.М.-М., в качеството си на процесуален представител на М.Т., от дата 04.01.2023 г., в което е посочено, че към момента Решение №ППН-01-652/2021 не е изпълнено.

С писмо с изх. № ППН-01-562 от 10.01.2023 г. е уведомена Е. Р., че има възможност да представи становище във връзка с твърденията, описани в писмото от адв. М.М.-М. за неизпълнение на решението на КЗЛД, както и, че при неизпълнение на решението, ще бъде наложена глоба.

С решение от проведено на 05.04.2023 г. заседание, КЗЛД е възложила проверка на 10.07.2023 г. относно неизпълнение на Решение №ППН-01-652/2021г. и на основание чл. 58, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета и чл. 10, ал. 2, т. 1 и чл. 12, ал. 1 и ал. 4 от ЗЗЛД, в изпълнение на Решение на Комисията за защита на личните данни от Протокол № 11/05.04.2023 г. и Заповед № РД-15-176/16.05.2023 г. на Председателя на КЗЛД, във връзка с постъпила жалба с вх. № ППН-01-562/22.07.2021 г. от М.Т. относно обработване на лични данни на физически лица посредством система за видеонаблюдение, изградена на адрес: гр. Пловдив, бул. „***“ № **, резултатите от която са обективирани в Докладна записка с изх. № ППН-01-562#36(21) от 08.09.2023 г. с приложени към нея констативен протокол и изображения на камерата за видеонаблюдение (л.117).

При проверката, извършена без предварително уведомяване и в отсъствие на Е.Р., е констатирано, че камерата не е демонтирана. Описано е, че камерата видимо функционира и дори проследява движението на членовете на проверяващия екип, като се завърта автоматично в различни посоки.

Проведено е заседание на комисията на 20.09.2023 г., на което е предложен и приет проект на решение. (л.150).

Последвало е издаване на процесното Решение № 01-562-1/2021 от 30.11.2023 г., с което на основание чл. 38, ал.3 от ЗЗЛД, на Е.Р. е наложена глоба на основание чл. 83, § 6 от ОРЗД в размер на 1 200,00 лв.

В мотивите на решението е посочено, че събраните по преписката доказателства свидетелстват за неизпълнение на решението на КЗЛД от 30.08.2022 г., като е посочено, че при извършената проверка на 10.07.2023 г. е установено, че повече от осем месеца след влизане в сила на решението на КЗЛД, камерата не е демонтирана, нито пренастроена по начин, по който в обхвата й да не попадат общи части на етажната собственост.

Според изложените мотиви в решението камерата видимо функционира и дори проследява движението на членовете на проверяващия екип в общите части на етажната собственост, като са завърта автоматично в различни посоки.

Относно размера на глобата е посочено, че следва да се отчетат обстоятелствата, че се касае за обработване на лични данни чрез видеонаблюдение - изображение, евентуални контакти и навици на наблюдаваните лица, администраторът е физическо лице и по отношения на него няма влезли в сила санкционни решения на КЗЛД. Като отегчаващи обстоятелство е прието наличие на умисъл при неизпълнение на разпореждането, както и продължителността на деянието - осъществявано неправомерно видеонаблюдение в продължение на две години, в частност неизпълнение на разпореждане повече от осем месеца от влизане в сила на решението на КЗЛД.

Описано в решението е, че от административния орган не са събрани данни за имущественото състояние на санкционираното лице и на неговото семейство, като е посочено, че от една страна доколкото размерът на минималната работна заплата, като икономически показател за стандарт на живота в България, за 2023 г. е 780 лева (определен с Постановление на Министерския съвет № 497 от 29 декември 2022 г.) и предвид значимостта на охраняваните с Регламент 2016/679 обществени отношения от друга страна, комисията счита, че глоба в размера от 1 200 лева, т.е. малко над минималната работна заплата за страната, определената глоба в размер на 1200,00 лв., е пропорционална и би имала необходимия възпиращ ефект.

При така установеното от фактическа страна, Съдът достигна до следните правни изводи.

Оспореният акт е издаден от компетентен орган. Решението е постановено от Комисия за защита на личните данни в производство по реда на чл.38 от ЗЗЛД. Комисията за защита на личните данни е сезирана с жалба № ППН-01 -562/22.07.2021г., подадена от М.А.Т., с изложени твърдения за нарушения на правата и уредени в Регламент (ЕС) 679/2016.

След извършена проверка от служители на КЗЛД, резултатите от която са обективирани в констативен акт №ППН-02-141 от 11.03.2022 г., са проведени заседания на комисията за защита на личните данни на 30.03.2022г. и 29.06.2022 г., е постановено Решение № ППН-01-562/2021 от 30.08.2022г., което е изпратено на посочен от Е.Р. електронен адрес, и е влязло в сила на 22.11.2022 г.

При извършена последваща проверка на служителите на 10.07.2023 г. от служителите на комисията за защита на личните данни, е констатирано, че камерата не е демонтирана, което е прието като неизпълнение на разпореждането в Решение № ППН-01-562/2021 от 30.08.2022г., и е издадено процесното решение, с което на Е.Р., е наложена глоба в размер на 1200,00 лв.

С оглед застъпените в административния процес принципи на равенство на страните и истинност, Р. е информирана за образуваното административно производство, указана й е възможността да ангажира писмено становище и да представи относими по случая доказателства.

Обжалваното решение е надлежно изпратено на посочен от Р. електронен адрес и не се спори между страните, че последната е запозната със съдържанието му.

По реда на чл. 38 от ЗЗЛД всяко заинтересовано лице, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон има право да сезира Комисията за защита на личните данни в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му.

По жалбата Комисията се произнася с решение, като може да приложи мерките по чл. 58, параграф 2, букви "а" – "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета. Когато жалбата е очевидно неоснователна или прекомерна, с решение на комисията жалбата може да се остави без разглеждане.

Според чл. 8 от Правилника за дейността на КЗЛД Комисията разглежда и решава въпроси от своята компетентност на открити заседания. Заседанията на комисията се провеждат, ако на тях присъстват най-малко трима от нейния състав Комисията взема решения чрез явно гласуване с мнозинство от три гласа.

Приложимата към процесния казус нормативна уредба се съдържа в Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, пряко приложим в държавите членки, считано от 25.05.2018 г., както и в Закона за защита на личните данни.

Съгласно чл. 6, ал. 1 от ЗЗЛД Комисията за защита на личните данни е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент /ЕС/ 2016/679 и на ЗЗЛД. Комисията изпълнява задачите, вменени й по смисъла на по чл. 57 от Регламент /ЕС/ 2016/679, като производството по жалби срещу актове или действия на администратор на лични данни е регламентирано в чл. 38 и сл. от ЗЗЛД, съответно в Глава четвърта, Раздел II от Правилника за дейността на комисията за защита на личните данни и нейната администрация /Правилника/. КЗЛД разполага с определена оперативна самостоятелност, като в съответствие с предоставените й функции преценява кое от корективните правомощия по чл. 58, § 2 от регламента да упражни. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес.

С оглед изложеното, оспореното в настоящото производство Решение №ППН-01-562/2021г. от 30.11.2023г. е издадено от компетентен административен орган – КЗЛД, в съответствие с предоставените й правомощия по чл. 38, ал. 1 и ал. 3 от ЗЗЛД във връзка с чл. 40, ал. 1 и ал. 2 от Правилника.

Обжалваният административен акт е постановен и в предписаната от закона форма – писмено решение, в което са посочени мотивите – фактически и правни основания. В решението са обсъдени всички фактически установявания, наведените от страните съображения, както и правната регламентация на спорните обществени отношения. Изложени са формираните от органа изводи, като им е придадена и съответстваща законова квалификация.

Административното производство, приключило с постановяване на обжалваното решение, се е развило по реда за разглеждане на жалби на физически лица, детайлизиран в Правилника за дейността на Комисията за защита на личните данни и нейната администрация. Правилно са били конституирани страните в производството и им е предоставена ефективна възможност да вземат участие в него като изразят становище, представят писмени доказателства и участват в проведеното открито заседание, на което жалбата е била разгледана по същество. Както ЗЗЛД, така и Правилникът задължават комисията да извърши всички необходими процесуални действия по проверка редовността, допустимостта и основателността на искането на сезиращото лице. В тази връзка и съгласно разпоредбата на чл. 38, ал. 2 във връзка с чл. 41 от Правилника, за изясняване на фактите и обстоятелствата по постъпила жалба комисията може да възложи извършването на проверка, събирането на доказателства или искане на становища от трети лица при условията на АПК и съобразно правомощията си по чл. 58, § 1 от Регламент /ЕС/ 2016/679. С оглед това законосъобразно комисията е назначила извършването на проверка на място с цел установяване на действителната фактическа обстановка и основателността на твърдените пред нея нарушения във връзка с изпълнение на разпореждането на КЗЛД.

Видно от приложените по делото констативен акт и докладна записка, е установено наличието на същата камера NovaTek iCam full Hd 1080P WIFI, разположена над входната врата на жилището на Р.. Камерата видимо функционира и дори проследява движението на членовете на проверяващия екип, като се завърта автоматично в различни посоки. Проверяващите са имали достъп до системата – факт, в подкрепа на който са и приложените снимки, визуализиращи обхвата на камерата. Тези фактически установявания са възприето безкритично от административния орган, като са възпроизведени дословно в оспореното пред съда решение. Именно въз основа на тези факти и обстоятелства КЗЛД е формирала своите изводи.

В случая не може да се отрече, че КЗЛД, спазвайки принципа на служебното начало в административния процес, чиито пряко проявление е и разпоредбата на чл. 36, ал. 1 от АПК, е положила усилия да събере доказателства за относими към случая факти и обстоятелства.

Съдът обаче приема, че в административната преписка липсват достатъчно доказателства относно техническите и функционали характеристики на системата за видеонаблюдение, а от там и нейните възможности, доколкото административният орган изрично е указал в решението си от 30.08.2022г., че Е.Р. трябва да преустанови заснемането на общи части на етажната собственост, като пренастрои обхвата на камерата и ако това е невъзможно да я демонтира.

В конкретния случай, при последващата проверка от длъжностните лица при КЗЛД е констатирано единствено наличие на същата камера, която „видимо функционира“. Прието е, че проследява движението на членовете на проверяващия екип, с мотиви, че се завърта автоматично в различни посоки.

От страна на контролните органи обаче не е извършено нищо повече от външен оглед. Няма данни камерата да е проверена дали записва данни, за да се приеме, че е налице „обработване“ на лични данни.

С оглед задължителния характер на оспореното решение спрямо страните в административното производство и съобразявайки принципите на съразмерност, последователност и предвидимост при упражняване на властническите правомощия от административните органи, съдът намира, че възприетото неизпълнение на указания/разпоредени действия в обжалваното решение, не са обусловени в достатъчна степен от конкретни фактически установявания, а по-скоро от евентуални предположения.

По делото не са представени доказателства за извършена проверка относно изправността на камерата, дали същата приема и предава звук и известия за движение. Няма данни какво реално заснема камерата, както и дали чрез изградената система за видеонаблюдение се обработват лични данни на лица, преминаващи през четвъртия етаж на сградата.

Няма данни и дали системата за видеонаблюдение позволява идентификация на ФЛ, както и дали системата за видеонаблюдение въобще се поддържа от Р..

Въпреки това е направен извод от комисията за неизпълнение на разпореждането без обаче да е придружен с необходимата обосновка.

В тази връзка крайно неясно остава категоричния извод за неизпълнение на разпореждането в решението, като мотиви за невъзможността същите да бъдат препозиционирани или коригиран обсега на заснемате липсват.

Посочените пропуски при провеждане на административното производство имат за последица неизясняване в пълнота на действителната фактическа обстановка и следва да се квалифицират като съществено процесуално нарушение, тъй като недопускането му би могло да обуслови различни констатации по фактите и съответно да доведе до друго разрешение на поставения пред административния орган въпрос.

Допуснатото от административния орган неизпълнение на задължението му по чл. 35 от АПК да извърши пълно и всестранно изясняване на релевантните факти и обстоятелства преди да постанови своя акт, е довело и до несъответствие на обжалваното решение с материалния закон.

Съгласно легалното определение на § 1, т. 1 и т. 4 от ДР на ЗЗЛД, по смисъла на този закон "лични данни" e понятието по чл. 4, т. 1 от Регламент /ЕС/ 2016/679, а "обработване" е понятието по чл. 4, т. 2 от Регламент /ЕС/ 2016/679. Според чл. 4, § 1 от регламента "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /"субект на данни"/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. § 2 на чл. 4 от регламента гласи, че "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Съгласно константната практика на Съда на Европейския съюз система за видеонаблюдение с камера трябва да се квалифицира като обработване на лични данни с автоматизирани средства, когато инсталираният диспозитив позволява записването и съхраняването на лични данни, като изображения, позволяващи идентифицирането на физически лица /т. 35 от Решение от 11.12.2019 г. по дело С-708/18/, какъвто безспорно и настоящия случай.

В § 1, т. 2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон "администратор", с изключение на администратора по глава осма, е понятието по чл. 4, т. 7 от Регламент /ЕС/ 2016/679, а съгласно т. 3 от § 1 на ДР на ЗЗЛД "обработващ лични данни" е понятието по чл. 4, т. 8 от регламента. Съответно според чл. 4, § 7 и § 8 от Регламент /ЕС/ 2016/679 "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. "Обработващ лични данни" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. В този смисъл, за да носи отговорност едно лице за обработване на личните данни на друго лице в нарушение на ЗЗЛД и Регламент /ЕС/ 2016/679, то лицето използващо "неправомерно" данните следва да има качеството "администратор" или "обработващ лични данни". Това произтича и пряко от разпоредбата на чл. 5, § 2 от посочения регламент, в който е заложено, че администраторът носи отговорност и е в състояние да докаже спазването на § 1, който именно се приема за нарушен в процесния случай.

Съгласно чл. 83, § от 6 Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) неспазването на разпореждане на надзорния орган, както е посочено в член 58, параграф 2, подлежи, в съответствие с параграф 2 от настоящия член, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20 000 000 EUR или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока.

Осъществените от жалбоподателя по делото действия по монтиране и въвеждане в постоянен работен режим на система за видеонаблюдение посредством видеокамера, попадат в хипотезата на обработване на лични данни съгласно легалната му дефиниция в чл. 4, § 2 от Регламент /ЕС/ 2016/679. Следователно административният орган, както вече беше отчетено, правилно е квалифицирал жалбоподателя, като администратор на лични данни по смисъла на цитираната правна уредба.

Въпреки това обаче към момента на последващата проверка на 10.07.2023 г. за изпълнение на влязлото в сила разпореждане не е изследвано дали е налице постоянен режим на камерата и дали администраторът на лични данни извършва обработване на лични данни.

Регламент /ЕС/ 2016/679 въвежда седем основни начала/принципи/, които следва да бъдат спазвани, през целия жизнен цикъл на личните данни - от тяхното създаване до тяхното унищожаване, които съответно се съдържат в чл. 5 от регламента: 1. принцип на законосъобразност, добросъвестност и прозрачност /§ 1, б. "а"/; 2. ограничаване на целите /§ 1, б. "б"/; 3. свеждане на данните до минимум /§ 1, б. "в"/; 4. точност /§ 1, б. "г"/; 5. ограничение на съхранението /§ 1, б. "д"/; 6. цялостност и поверителност /§ 1, б. "е"/ и 7. отчетност /чл. 5, § 2/. Принципите следва да бъдат спазвани кумулативно, поради което нарушението на който и да е от тях е основание за носенето на отговорност.

Елементът на законосъобразност сочи най-общо, че обработването трябва да е в съответствие със закона, като в контекста на защитата на личните данни този елемент от първия принцип изисква преди всичко наличието на правно основание за обработване на данните по смисъла на чл. 6 и 9 от регламента, т. е. обработването ще бъде законосъобразно само в случаите, когато е налице поне едно от разписаните в чл. 6, § 1 и в чл. 9, § 2 и 4 хипотези или условия за допустимост. От своя страна последните са алтернативни, което означава, че за да е налице валидно правно основание за обработване е достатъчно да бъде приложена само една от тях. Добросъвестността и прозрачността, като елементи от първия принцип са взаимно свързани, като и двата са дължими по отношение субекта на данни и изискват от администратора данните да бъдат обработвани честно и открито. Добросъвестността предполага коректно поведение от страна на администратора и полагане на дължимата грижа от негова страна, за да бъдат обработвани данните правилно и правомерно, при спазване изискванията на закона и на добрите нрави, както и съобразно очакванията на субекта на данните. Изискването за прозрачност е свързано пряко с изграждането на доверие у физическите лица по отношение процесите за обработване на данните от страна на администратора, т. е. този елемент от първия принцип предполага всяка информация и комуникация със субектите във връзка с операциите по обработване да бъде разбираема.

Предотвратяване на безконтролното обработване на данните предполага целите, за които те се обработват да бъдат дефинирани преди да започне процеса по тяхното събиране и именно в това се състои втория въведен принцип – ограничаване на целите. Дефинирането на целта като цяло се явява съществено, тъй като именно тя е определяща за вида на операциите по обработване на данните и естеството на данните, които ще се обработват.

Съдът възприема, че всяка отделна цел, за която се обработват личните данни следва да почива поне на едно правно основание от изброените в чл. 6, § 1 и в чл. 9, § 2 и 4 от регламента, като това обаче не отменя задължението на администратора да обработва данните в съответствие с принципите, заложени в чл. 5 от същия регламент.

При визираното условие за допустимост на обработването не съществува презумпция за законосъобразност, както е в случаите по чл. 6, § 1, б. "а"-"г" от регламента, а е необходимо да се намери баланса между законния /легитимен/ интерес на администратора и интереса или основните права и свободи на физическото лице, за което се отнасят данните, като наличието на законен интерес се явява само отправна точка. Именно при извършването на тази оценъчна дейност следва да бъдат взети предвид много фактори: естеството на интереса, въздействието на обработването за целите на постигане на интереса /в т. ч. самият начин на обработване, разумните очаквания на субекта, чиито данни се обработват, положението на субекта/, гаранциите, които администраторът за предотвратяване на неблагоприятното въздействие върху правата и свободите на субекта и пр.

Изложеното дотук не е самоцелно, а идва, за да онагледи неправилното и непоследователно приложение на относимите материални норми от страна на решаващия административния орган, което е вследствие и на допуснатите от него нарушения на административнопроизводствените правила.

Отделно от това няма как да се споделят и изводите на комисията, че е налице отегчаващо обстоятелство - умисъл при неизпълнение на разпореждането, доколкото не е налице безспорно установено неизпълнение на разпореждането.

В тази връзка е необходимо да се посочи, че балансът между легитимния интерес на жалбоподателя и интереса, и основните права, и свободи на Р. е анализиран при изначална липса на достатъчно изходни данни /фактически установявания/, което е довело и до неправилно прилагане на материалния закон. Наличието на реална, обективна и в достатъчна степен мотивирана преценка, предполага и наличието на увереност у административния орган досежно всички релевантни факти и обстоятелства, което само по себе си изключва повърхностното изследване и представянето на неаргументирани и непълни отговори във връзка с възникналите по конкретния случай въпроси с правно значение.

Не е установено неправомерно обработване на тези данни, като действително макар и да е налице възможност за записване на тези данни за някакъв период от време, независимо, че по време на проверката не е констатирано визуализиране на кадри, нито се установява същите да се съхраняват по някакъв начин и да е налице възможност за отдалечен достъп до системата за видеонаблюдение. Нито в административното производство, нито в хода на настоящото съдебно производство се установява по отношение на личните данни да се извършва картотекиране, класифициране или друго подобно действие. По делото не са ангажирани доказателства също, че записваните данни, чрез системата за видеонаблюдение, са използвани неправомерно от Р.. Нещо повече – дори не са налични конкретни доказателства, било то и отделни кадри, като част от съхранявани от системата видеозаписи или копия на снимки в реално време, от които да се направи извод за обработването на лични данни, съответно за неизпълнение на разпореждането на КЗЛД. Подобни фактически установявания или констатации не се съдържат в материалите, обективиращи извършената на място проверка. В този смисъл не може да се приеме за доказано по несъмнен и категоричен начин твърдението за неизпълнение на издаденото от комисията разпореждане на Е.Р. да преустанои заснемането на общи части на етажната собственост, като се пренастрои обхвата на камерата.

Актът по чл. 38, ал. 3 на КЗЛД е постановен без да са изяснени фактите и обстоятелствата от значение за случая, част от които предвид спецификата на казуса, предполагаща изследване на автоматично средство, чрез което се обработват по см. на чл. 4, § 2 ОРЗД лични данни-инсталирана система за видеонаблюдение, са свързани с необходимостта от специални знания, а именно: техническите характеристики на камерата за видеонаблюдение, възможността за промяна на обхвата на видеозаснемане и резултатите, които при различното топографско разположение би дала и различен резултат на обработка на личните данни, пряко свързан с приложената от АО разпоредба на чл. 5, § 1 от Регламент.

Без изясняване на горното е невъзможно националният надзорен орган да извърши обективна, основана на всички релевантни факти преценка за прилагане корективните правомощия по чл. 58, § 2, б. "г" ОРЗД с оглед изпълнение целите и задачите на Регламента.

По тези съображения съдът намира жалбата за основателна, а оспореното Решение № ППН-01-562-1/2021г. от 30.11.2023 г. на КЗЛД, като издадено при допуснати съществени нарушения на административнопроизводствените правила и при неправилно приложение на материалния закон, се явява незаконосъобразно и като такова следва да бъде отменено.
От жалбоподателката не са претендирани разноски, поради което такива не се присъждат.

Водим от горното, Съдът

Р Е Ш И:

ОТМЕНЯ Решение № ППН-01-562-1/2021г. от 30.11.2023г. на Комисия за защита на личните данни, с което на основание чл. 38, ал. 3 от ЗЗЛД е наложена на Е.Д.Р. глоба в размер на 1 200 лв. (хиляда и двеста лева), на основание чл. 83, § 6 от ОРЗД, за неизпълнение на влязло в сила разпореждане на надзорния орган, обективирано в т. 2 на Решение № ППН-01- 562/2021 г. от 30.08.2022 г. на КЗЛД.

Решението подлежи на касационно обжалване чрез настоящия съд пред Върховния административен съд в 14-дневен срок от съобщаването му на страните.

Съдия: