Р Е Ш Е Н И Е
№ 1727/13.10.2020г.
Град Пловдив, 13.10.2020година
АДМИНИСТРАТИВЕН СЪД ПЛОВДИВ, І отделение, ІV състав, в открито заседание на тридесети септември две хиляди и двадесета година
в състав:
Административен съдия: Анелия Харитева
при участието на секретаря Севдалина Дункова,
като разгледа докладваното от съдията административно
дело № 1566 по описа на съда за 2020 година, за да се произнесе, взе предвид следното:
Производство по реда на чл.145 от сл. от АПК, вр.
чл.39, ал.1 ЗЗЛД.
Образувано е по жалба на С.А.А. *** против действията
на администратора на лични данни д-р Венцеслав Ангелов Р., действащ като
едноличен търговец под фирма ЕТ „Д-р Венцеслав Р. –Амбулатория за индивидуална
практика за първична помощ по дентална медицина“, по неправомерно обработване
на личните данни на жалбоподателя.
Твърди се, че след прекратяване на трудовото
правоотношение между жалбоподателя и ответника на 01.07.2015 г. е отпадала
нуждата от обработване на личните данни на жалбоподателя, както и нуждата от
съществуването на рекламна страница с неговите лични данни в сайта на ответника.
Въпреки че жалбоподателят изрично е поискал от ответника заличаването на
личните си данни от интернет страницата и е възразил срещу обработването им, не
е извършено такова заличаване, а е добавено ново съдържание, представящо
жалбоподателя като неблагодарен и невъзпитан човек, извършил престъпление –
кражба на интелектуална собственост, познания и квалификация. Иска се отмяна на
действията на администратора на лични данни по неправомерно обработване на
личните данни на жалбоподателя и задължаване му да преустанови неправомерното
обработване на данните на жалбоподателя, като ги заличи от интернет страницата
на индивидуалната си практика по дентална медицина. Претендират се разноски. Допълнителни
съображения по съществото на спора са изложени в писмени бележки от 07.10.2020
г.
Ответникът не изразява становище по жалбата.
Съдът намира, че жалбата е подадена от активно
легитимирана страна, чиито права и законни интереси са неблагоприятно засегнати
от действията на администратора на лични данни, и не е обвързана със срок,
доколкото оспорените действия на
администратора на лични данни продължават и към настоящия момент. Видно от писмо
с вх.№ 11658 от 27.07.2020 г. (л.13 от адм. д. № 1566/2020 г.), не е налице висящо
или неприключило производство пред Комисията за защита на личните данни за
същото нарушение, т.е., не е налице пречката по чл.39, ал.4 ЗЗЛД. Всичко
изложено налага извод, че жалбата е допустима, а разгледана по същество, тя е основателна
поради следните съображения:
От събраните по делото писмени доказателства се
установява, че на 17.04.2013 г. между ЕТ „Д-р Венцеслав Р. – Амбулатория за
индивидуална практика за първична помощ по дентална медицина“, ЕИК *********,
като работодател и д-р С.А.А. като служител е сключен трудов договор, прекратен
със заповед № 4 от 01.07.2015 г. Не се спори между страните, че след възникване
на трудовото правоотношение жалбоподателят се е съгласил д-р Р., като работодател
и администратор на лични данни, да публикува личните му данни с цел реклама,
като д-р Р. е предоставил на д-р А. достъп на домейн-интернет страница:
http//www.salifarif.com. След прекратяване на трудовото правоотношение на
01.07.2015 г. достъпът до сайта е бил прекратен без да са били премахнати публикуваните
данни за д-р А..
До д-р Р. е изпратена нотариална покана от жалбоподателя
с искане в 7-дневен срок, считано от връчването, да бъде прекратено
обработването на лични данни, включително и биометрични такива, чрез премахване
на всички данни в посочените публикации на интернет адрес: http//www.salifarif.com, които позволяват идентификацията на д-р А.. Поканата е връчена на д-р Р. на
11.02.2020 г. в кантората на ЧСИ Христо Стоянкин. Т.е., по безспорен начин се
установява както несъгласието на жалбоподателя да бъдат обработвани личните му
данни, така и желанието му да се преустанови тяхното неправомерно обработване
от страна на администратора на лични данни д-р Р..
На 14.02.2019 г. е съставен констативен протокол (акт
№ 24, том 1, рег. № 373 от 14.02.2019 г. – л.17 от адм. д. № 1174/2020 г.),
установяващ вида на информацията, съдържаща в интернет към този момент на
електронни сайтове с интернет адреси: http//www.drlazarevski.com и http//www.salifarif.com., прикрепена към
протокола и съставляваща неразделна негова част. При извършена проверка на посочения
интернет адрес съдът констатира, че информацията и към настоящия момент е
идентична с удостоверената от помощник-нотариуса в цитирания по-горе
констативен протокол.
Данните са публикувани към месец април 2013 г. и съдържат
имената на жалбоподателя, дата и място на раждане, образование,
професия/специалност, снимки, както и документи, свързани с кариерното му
развитие.
При
тези факти съдът намира, че действията на администратора на лични данни са
незаконосъобразни и следва да се отменят.
Съгласно § 1, т.1-5 ДР ЗЗЛД по смисъла на този закон "лични
данни" e понятието по чл.4, т.1 от Регламент (ЕС) 2016/679; "администратор",
с изключение на администратора по глава осма, е понятието по чл.4, т.7 от
Регламент (ЕС) 2016/679; "обработващ лични данни" е понятието по
чл.4, т.8 от Регламент (ЕС) 2016/679; "обработване" е понятието по
чл.4, т.2 от Регламент (ЕС) 2016/679; "ограничаване на обработването"
е понятието по чл.4, т.3 от Регламент (ЕС) 2016/679.
Според чл.4, т.1 от Регламент (ЕС) 2016/679
"лични данни" означава всяка информация, свързана с идентифицирано
физическо лице или физическо лице, което може да бъде идентифицирано
("субект на данни"). В същата разпоредба е уточнено, че
идентифицирането може да стане чрез идентификатор като име, идентификационен
номер, данни за местонахождение, онлайн идентификатор или по един или повече
признаци, специфични за физическата, физиологичната, генетичната, психическата,
умствената, икономическата, културната или социална идентичност на това
физическо лице.
Легалната дефиниция за лични данни се съдържа и в чл.2,
ал.1 ЗЗЛД, в редакцията към ДВ, бр.81 от 2011 г., действал към момента на
публикуване на данните, съгласно която лични данни са всяка информация,
отнасяща се до физическо лице, което е идентифицирано или може да бъде
идентифицирано пряко или непряко чрез идентификационен номер или чрез един или
повече специфични признаци.
Следователно законът винаги е определял като лични
данни онази информация за определено физическо лице, която прави възможна неговата
идентификация по категоричен начин и в настоящия случай безспорно се касае до
лични данни на жалбоподателя, тъй като на интернет страницата са поставени трите
имена на жалбоподателя, датата и мястото на раждане, неговата професия и
кариерно развитие, снимки.
Съгласно § 1, т.1 ДР ЗЗЛД, в редакцията към ДВ, бр.81
от 2011 г., действал към момента на публикуване на данните, "обработване
на лични данни" е всяко действие или съвкупност от действия, които могат
да се извършват по отношение на личните данни с автоматични или други средства,
като събиране, записване, организиране, съхраняване, адаптиране или изменение,
възстановяване, консултиране, употреба, разкриване чрез предаване,
разпространяване, предоставяне, актуализиране или комбиниране, блокиране,
заличаване или унищожаване.
Съгласно чл.4, ал.1 ЗЗЛД, в редакцията към ДВ, бр.81
от 2011 г., действал към момента на публикуване на данните, обработването на
лични данни е допустимо само в случаите, когато е налице поне едно от следните
условия: 1. обработването е необходимо за изпълнение на нормативно установено
задължение на администратора на лични данни; 2. физическото лице, за което се
отнасят данните, е дало изрично своето съгласие; 3. обработването е необходимо
за изпълнение на задължения по договор, по който физическото лице, за което се
отнасят данните, е страна, както и за действия, предхождащи сключването на
договор и предприети по негово искане; 4. обработването е необходимо, за да се
защитят животът и здравето на физическото лице, за което се отнасят данните; 5.
обработването е необходимо за изпълнението на задача, която се осъществява в
обществен интерес; 6. обработването е необходимо за упражняване на правомощия,
предоставени със закон на администратора или на трето лице, на което се
разкриват данните; 7. обработването е необходимо за реализиране на законните
интереси на администратора на лични данни или на трето лице, на което се
разкриват данните, освен когато пред тези интереси преимущество имат интересите
на физическото лице, за което се отнасят данните.
Съгласно чл.4, § 2 от Регламент (ЕС) 2016 /679
"обработване" означава всяка операция или съвкупност от операции,
извършвана с лични данни или набор от лични данни чрез автоматични или други
средства като събиране, записване, организиране, структуриране, съхранение,
адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез
предаване, разпространяване или друг начин, по който данните стават достъпни,
подреждане или комбиниране, ограничаване, изтриване или унищожаване.
Т.е., публикуването в интернет на документ, съдържащ
лични данни, изпълва признаците на разпространяване, поради което представлява
обработване по смисъла на регламента.
Съгласно чл.6, § 1 от Регламент (ЕС) 2016/679
обработването на лични данни е законосъобразно, само ако и доколкото е
приложимо поне едно от следните условия: a) субектът на данните е дал съгласие
за обработване на личните му данни за една или повече конкретни цели; б)
обработването е необходимо за изпълнението на договор, по който субектът на
данните е страна, или за предприемане на стъпки по искане на субекта на данните
преди сключването на договор; в) обработването е необходимо за спазването на
законово задължение, което се прилага спрямо администратора; г) обработването е
необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните
или на друго физическо лице; д) обработването е необходимо за изпълнението на
задача от обществен интерес или при упражняването на официални правомощия,
които са предоставени на администратора; е) обработването е необходимо за
целите на легитимните интереси на администратора или на трета страна, освен
когато пред такива интереси преимущество имат интересите или основните права и
свободи на субекта на данните, които изискват защита на личните данни,
по-специално когато субектът на данните е дете.
Изхождайки от съществуващата правна уредба, която не
се различава от отменената, действала към момента на публикуване на данните в
интернет пространството, в настоящия случай не се установява наличието на нито
една от посочените хипотези на чл.6, § 1 от Регламент (ЕС)
2016/679, които дават право на администратора на лични данни да ги разпространява
и разкрива публично чрез публикация на сайта си и да ги съхранява там.
Основателно е възражението на жалбоподателя, че след прекратяване на трудовия
договор на 01.07.2015 г. за ответника е отпаднала целта, за която са били
публикувани личните му данни – да рекламира дейността на практиката по
денталната медицина. Още повече, че след прекратяване на трудовия договор жалбоподателят
е изразил изрично несъгласие личните му данни да продължават да са публикувани
на интернет страницата на ответника. Т.е., липсва първото и най-важно условие
за законосъобразно обработване на данни – съгласие на субекта на данни за
тяхното обработване с някоя конкретна цел.
От друга страна, в случая обработването на личните
данни на жалбоподателя е ставало в нарушение на принципите по чл.5, § 1, б.“б“
и „в“ от Регламент (ЕС) 2016/679, установяващи, че обработването на личните данни следва да се извършва при спазване на принципите за
"ограничение на целите" и "свеждане на данните до минимум",
като при оповестяването се заличат изцяло личните данни на жалбоподателя, като
се анонимизират
и/или псевдонимизират до степен да не могат да се свързват
повече с конкретен правен субект, без да се използва допълнителна информация.
При доказателствена тежест за ответника да установи, че личните данни се събират
за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по
начин, несъвместим с тези цели, не бяха събрани никакви доказателства в тази
насока.
Посочените принципи са мотивирани в § 39 от преамбюла
на регламента, съгласно който всяко обработване на лични данни следва да бъде
законосъобразно и добросъвестно; личните данни следва да са адекватни,
релевантни и ограничени до необходимото за целите, за които се обработват;
личните данни следва да се обработват по начин, който гарантира подходяща
степен на сигурност и поверителност на личните данни, включително за
предотвратяване на непозволен достъп до лични данни и до оборудване за тяхното
обработване или за предотвратяване на използването им.
В разрез с посочените принципи личните данни на
жалбоподателя са обработени чрез публикуването им в интернет, което е
предоставило възможност на неограничен кръг потребители на сайта да се
запознаят с тях, и съставлява нарушение на Регламент (ЕС) 2016 /679.
Комбинацията от данни за имената на жалбоподателя,
датата и мястото на раждане, образованието, професията и специалността
представляват лични данни по смисъла на чл.4, т.1 от Регламент (ЕС) 2016/679,
тъй като са достатъчно индивидуализиращи до степен жалбоподателят да бъде
разпознат и идентифициран безпогрешно. В сайта фигурира и снимката на жалбоподателя,
която безспорно се включва в понятието лични данни по смисъла на чл.2, ал.1
ЗЗЛД, в редакцията към ДВ, бр.81 от 2011 г., както и по смисъла на чл.4, т.1 от
Регламент (ЕС) 2016/679, и прави още по-лесна неговата индивидуализация.
Основателно е възражението на жалбоподателя за липса
на законово основание за обработване на личните му данни от страна на
администратора след прекратяване на трудовото правоотношение между страните,
доколкото не се доказа наличието на което и да е от изчерпателно изброените
условията по чл.6, § 1 от Регламент (ЕС) 2016/679, определящи допустимостта и
законосъобразността на обработването на лични данни.
Предвид всичко изложено съдът намира, че следва да бъдат
обявени за незаконосъобразни действията на ответника по неправомерно
обработване на личните данни на д-р А. и следва да бъде задължен ответника в 3-дневен срок от влизане в сила на съдебното решение да заличи
личните данни на д-р А., съдържащи се на интернет адрес:
http//www.salifarif.com. С оглед изхода на делото и своевременно направеното искане
от процесуалния представител на жалбоподателя за присъждане на разноски същото като
основателно и доказано в размер на 510 лева (10 лева за държавна такса и 500 лева
за адвокатско възнаграждение – л.24) следва да се уважи и да бъде осъден ответника
да заплати на жалбоподателя тази сума.
Затова и на основание чл.172, ал.2 АПК Административен
съд Пловдив, І отделение, ІV състав,
Р Е Ш И:
ОТМЕНЯ по жалба на С.А.А., ЕГН **********,***, действията на д-р
Венцеслав Ангелов Р., ЕГН **********, действащ като едноличен търговец под
фирма ЕТ „Д-р Венцеслав Р. – Амбулатория за индивидуална практика за първична
помощ по дентална медицина“, ЕИК *********, със седалище и адрес на управление:
град Пловдив, бул. „Любен Каравелов“ № 9, вх.Б, ет.5, ап.7, администратор на
лични данни, изразяващи се в неправомерно обработване на личните данни на С.А.А.
чрез публикуването им на електронен сайт с интернет адрес:
http//www.salifarif.com.
ЗАДЪЛЖАВА Венцеслав Ангелов Р., ЕГН **********, действащ като
едноличен търговец под фирма ЕТ „Д-р Венцеслав Р. – Амбулатория за индивидуална
практика за първична помощ по дентална медицина“, ЕИК *********, със седалище и
адрес на управление: град Пловдив, бул. „Любен Каравелов“ № 9, вх.Б, ет.5,
ап.7, администратор на лични данни, да преустанови обработването на личните
данни на С.А.А. и в тридневен срок от влизане на решението в сила да заличи
личните данни на С.А.А. в електронен сайт с интернет адрес:
http//www.salifarif.com.
ОСЪЖДА Венцеслав Ангелов Р., ЕГН **********, действащ като
едноличен търговец под фирма ЕТ „Д-р Венцеслав Р. – Амбулатория за индивидуална
практика за първична помощ по дентална медицина“, ЕИК *********, със седалище и
адрес на управление: град Пловдив, бул. „Любен Каравелов“ № 9, вх.Б, ет.5,
ап.7, да заплати на С.А.А., ЕГН **********,***, сумата 510 (петстотин и десет)
лева, разноски по делото.
Решението подлежи на обжалване с касационна жалба пред
Върховния административен съд в 14-дневен срок от съобщаването.
Административен съдия: