Р
Е Ш Е Н И Е
№ 135 19.06.2023 год. гр. Стара Загора
В
ИМЕТО НА НАРОДА
Старозагорски административен съд, публично
съдебно заседание на осемнадесети май две хиляди двадесет и трета год., в
състав
Председател: ГАЛИНА ДИНКОВА
Членове: ДАРИНА ДРАГНЕВА
МИХАИЛ РУСЕВ
при секретаря Пенка
Маринова и
в присъствието на прокурора Андреан
Сутров,
като разгледа докладваното от съдия Дарина Драгнева КАН дело №73 по описа
за 2023 год., за да се произнесе, съобрази следното:
Производството е по реда на чл.208 и сл. от
Административно-процесуалния кодекс /АПК/, във връзка с чл.63, ал.1, изр.
второ от Закона за административните
нарушения и наказания /ЗАНН/.
Образувано е по касационна жалба на Председателя на Комисията аз защита на личните данни
против Решение №338/23.12.2022г постановено по АНД №265/22г по описа на РС
Казанлък, с което е отменено Наказателно постановление № 2/01.12.2021г на
Председателя на КЗЛД с наложена на Министерство на здравеопазването имуществена
санкция в размер на 60 000лв на основание чл. 58 §2 буква „и“ вр. с чл.83
§4 буква „а“ от Регламент ЕС №2016/679 на Европейския парламент и на Съвета за
нарушение на чл. 32 §1 буква „б“ от Регламент ЕС №2016/679 относно защитата на
физическите лица във връзка с обработването на лични данни и относно свободното
движение на такива данни /Регламента/, за това че на 30.06.2021г Министерството
на здравеопазването в качеството на администратор на лични данни, не е приложил
подходящи технически и организационни мерки за осигуряване на съобразено с
риска ниво на сигурност на обработването, в резултат на което е допуснало лични
данни на над 65 951 броя физически лица – персонал 3 619 броя и
пациенти 62 332броя на „Специализирана болница за долекуване и
продължително лечение на пневмо-фтизиатрични заболявания и рехабилитация –
Радунци“ ЕООД, съдържащи се в документи от болничната дейност ан дружеството и
съхранявани в сградата на болничното заведение, да бъдат разпространени и
общодостъпни за неограничен кръг външни лица, с което е нарушил разпоредбите на
чл.32 §1 буква „Б“ от Регламент ЕС 2016/679.
СБДПЛПФЗР
– Радунци е в ликвидация като с Протокол на едноличния собственик на капитала
№РД-16-5/09.01.20220г Министъра на здравеопазването в качеството на упражняващ
правата на държавата, назначава ликвидатор – физическо лице, след проведен
конкурс за възлагане ликвидацията на дружеството. Договорът за възлагане на
ликвидацията е сключен на 16.01.2020г с №РД-1612/16.01.2020г, подписан от
министъра на здравеопазването и определеното физическо лице. Ликвидаторът
представлява дружеството и има правата и задълженията на управителния му орган,
като се задължава да опазва архива на дружеството до приключване на
ликвидацията и да го предаде за съхранение, съгласно Закона за националния
архивен фонд, а относно документите, касаещи осигурителни правоотношения,
съгласно Кодекса за социално осигуряване. Назначения за ликвидатор е вписан
като такъв в ТР на 03.02.2020г
но към 27.10.2020г е подал молба на основание чл.141 ал.5 от ТЗ да бъде
заличен, поради липса на съдействие от страна на Министерство на
здравеопазването, причинила невъзможност да има достъп до сградата и
документите на лечебното заведение. Договорът за възлагане на ликвидацията
попада под чл.28 §3 от Регламент ЕС 2016/679 и представлява възлагане на
обработването на личните данни, съхранявани от дружеството. Отговорно за
обработването на личните данни, чрез съхранение в качеството му на
администратор е Министерство на здравеопазването, а по силата на сключения
договор за ликвидация отговорност носи и ликвидатора в качеството му на
обработващ лични данни. Специализираната
болница е развивала дейност от 1955г до 2014г, като след това сградата и всички
документи, намиращи се вътре в нея са изоставени. Поради многобройните набези
на външни лица, официалните входове са барикадирани. Физическо лице от село
Радунци, самоинициативно заключва с катинар малка странична вратичка към
сградата и я охранява, като подава и сигнал към Общински съвет Стара Загора, а
оттам се сезира и КЗЛД. В архивни помещения е установено наличието на над
3 339 броя трудови досиета на физически лица – служители, назначени за периода
от откриването на медицинското заведение до към 2000г. Констатирани са общо над
3 619 броя трудови досиета, които се съхраняват в сградата. В сградата на
болницата, в различни помещения са открити медицински досиета на физически
лица, които са лекувани в различни периоди – описани по брой в
обстоятелствената част на НП –общо 62 332броя, които заедно с досиетата на
персонала представляват сбор от 65 951 физически лица, чиито лични данни
не са съхранявани с необходимото ниво на сигурност спрямо риска.
За да отмени Наказателното постановление РС
Казанлък е приел, че нарушението е извършено, но Министерство на
здравеопазването не е субект на административно наказателна отговорност, защото
няма качеството администратор на лични данни. СБДПЛПФЗР –Радунци ЕООД в
ликвидация е самостоятелно юридическо лице, държавно лечебно заведение по
смисъла на §1 т.2 от ЗЛЗ и търговско дружество, съгласно ТЗ. То се явява
публично предприятие, а до заличаването им в ТР физическите лица, които са
определени за ликвидатори носят правата и задълженията. Следователно без
значение е обстоятелството, че назначения за ликвидатор е поискал да бъде
заличен от ТР и да бъде прекратен сключения с него договор за възлагане на
ликвидацията. До заличаването в ТР той остава законен представител на
юридическото лице. Съгласно чл.4 т.7 от Регламента администратор на лични данни
е онова лице, публичен орган, агенция или друга структура, която сама или
съвместно с други определя целите и средствата за обработването на лични данни.
Следователно самото търговско дружество се явява администратор на лични данни,
защото сам определя целите и средствата за обработване на личните данни.
Задължението за обработване на личните данни, съдържащи се в досиетата на
пациентите е на ликвидатора по силата на чл. 56 ал.4 от ЗЛЗ, според който той
трябва да осигури предаването на наличните документи на пациентите. В
заключение, въззивния съд се е позовал на липса на задължения за Министерство
на здравеопазването по чл. 32 от Регламента и за вменени такива на ликвидатора,
който е следвало да бъде субект на административно наказателна отговорност за
проявеното бездействие да вземе подходящи технически и други мерки по сигурно
съхранение на трудовите и медицинските досиета.
С
касационната жалба се твърди, че материалния закон е приложен неправилно. Поддържа
се правно становище, че администратора е лицето, което обработва лични данни в
хода на професионалната си дейност по аргумент от определението на чл.7 т. 7 от
Регламента. Министерството на здравеопазването е юридическо лице и публичен
орган, който извършва дейността си въз основа на нормативни актове и в
обществен интерес като при осъществяването й обработва значителен обем лични
данни, включително и тези в медицинските досиета. Разликата между администратор
и обработващ лични данни е спорния по делото въпрос. Съгласно определението на
чл.4 т.8 от Регламента обработващ лични данни е лице, публичен орган, агенция
или друга структура, която обработва лични данни от името на администратора. В
случая обработващият лични данни е физическото лице, което е определено за
ликвидатор на дружеството. Едно от условията на закона е лицето да бъде външна
за администратора структура. В тази връзка с становище №1/2010г на Работна
група по чл.29 е разгледано обстоятелството, че обработващите придобиват това
качество, когато изпълняват своите задължения и обработват лични данни под
ръководството на административно и по неговите указания. Обработващият лични
данни е лице, различно от служителите на администратора тоест работниците и
служителите на МЗ не попадат в тази категория. Другата важна характеристика е
същият да обработва лични данни въз основа на акт за възлагане, който определя
целите и средствата на обработването. Наличието на възлагане на дейностите по
обработване от името на администратора е необходимо и важно условие за
възникване на правната фигура на обработващ личните данни. Такъв договор е
например процесния сключен за назначаване на ликвидатор. Същият не би
възникнал, ако МЗ в качеството си на принципал на болничното заведение не е
изразило съгласие за сключването му. С договора е възложило на ликвидатора
редица свои задачи, сред които опазването и съхранението на трудовите досиета и
медицинската документация, която съдържа обработени лични данни на служители и
ползватели на медицински услуги. Следователно ликвидатора действа от името на
министерството, което е възложило совите правомощия по съхранение на
имуществото на болничното заведение и по отношение на личните данни, вписани в
документите, които се намират в сградата му. Ликвидатора отговаря за своите
действия пред Министерството на здравеопазването, има задължение за отчет пред
него. Министерство на здравеопазването в качеството си на администратор на
личните данни е възложило на ликвидатора да извърши от негово име всички
необходими и законови действия, като е вписало в ТР по партидата на собственото
си предприятие конкретния ликвидатор с оглед известяване на всички
заинтересовани от ликвидацията трети лица. В тази връзка ликвидаторите са
овластени от чл.56 ал.4 от Закона за лечебните заведения да осигурят
предаването на всички документи на държавен архив, когато лечебното заведение е
в ликвидация. Ликвидаторът е бездействал от назначаването си, чрез сключване на
договора с МЗ до неговото прекратяване и обявяване в ТР. Действията по
предаване на останалите оригинални документи са извършени от органи на
Министерство на здравеопазването, а именно служителите на РЗИ Стара Загора след
намесата на КЗЛД и образуване на настоящото административно наказателно
производство с налагане на санкцията. Едва тогава МЗ организира и осигурява
изземване от разграбеното болнично заведение в Радунци на множество разпилени
оригинални документи с вписани лични данни и ги е предало в архив. Сключеният
между МЗ и ликвидатора договор доказва отношения между администратор и
обработващ лични данни по смисъла на чл.28 от Регламента. Следователно правилно
е преценено правно, че субект на отговорността за извършеното нарушение е
Министерство на здравеопазването поради качеството му на администратор на лични
данни. Дори да се приеме тезата, че ликвидатора е виновното лице, то това
противоречи на правната същност на сключения договор за ликвидация и ще следва
да се приеме, че всеки договор за назначаване на ликвидатор е сключен между
двама администратори. В този случай по
силата на чл.82 от Регламента те ще следват да отговарят солидарно за
бездействието си да изпълнят задължението по чл.32 § 1 б. „б“ от Регламента, да
приложат подходящи технически и организационни мерки, с оглед защитата на
обработените лични данни, които са разхвърлени в цялото болнично заведение.
Дори и при тази правна теза, АНО следва да наложи санкция и на Министерство на
здравеопазването, независимо от санкцията за ликвидатора. От съда се иска да
бъде отменено въззивно съдебно решение и да се постанови друго, с което да се
потвърди наказателното постановление с присъждане на възнаграждение за
юрисконсулт.
Ответника
Министерство на здравеопазването в писмен отговор оспорва основателността на
касационната жалба. Счита, че материалния закон е приложен правилно и няма
качеството на администратор на личните данни, обработени при осъществяване
дейността на болничното заведение. Позовава се на правосубектността на
лечебното заведение като самостоятелно юридическо лице, чийто едноличен
собственик на капитала е държавата, поради което е публично предприятие.
Правата на държавата като собственик се упражняват от министъра на
здравеопазването, но това няма за последица определяне на министерството като
администратор на лични данни, обработвани от публичното предприятие, доколкото
същото има назначен ликвидатор. От съда се иска да бъде оставено в сила
въззивното съдебно решение.
Представителя на Окръжна
прокуратура Стара Загора дава заключение за неоснователност на касационната жалба. Счита решението за правилно и предлага
на съда да бъде оставено в сила.
Административен съд Стара Загора като
взе предвид доводите на страните, съобразно доказателствата и закона и след
извършена служебна проверка за валидност, допустимост и съответствие на
решението с материалния закон, намира за установено следното:
Жалбата е неоснователна.
Съгласно чл. 103 ал.1 от Закона за лечебните заведения, съществуващите
публично здравни лечебно оздравителни заведение се преобразуват в еднолични
търговски дружества с държавно имущество със заповед на Министъра на
здравеопазването в срок до 01.09.2000г. В тази връзка в обстоятелствената част
на НП са описани трудови досиета с назначени на работа медицински работници до
и след 2000г. По силата на чл.104 ал.1 от ЗЛЗ, последица от преобразуването на
лечебното заведение в еднолично търговско дружество е придобиването от Специализираната
болница за до лекуване и продължително лечение на пневмо-фтизиатрични
заболявания и рехабилитация- Радунци ЕООД на движимото и недвижимо имущество,
което е включено в баланса на публичното здравно лечебно оздравително заведение
по смисъла на чл.102 от същия закон. От момента на преобразуването държавата
става едноличен собственик на капитала, но имуществото е собственост на
съответното лечебно заведение с правосубектност на търговско дружество –
самостоятелен субект на правото. В Закона за лечебните заведения конкретно са
посочени ограниченията относно сделките на разпореждане с притежаваното от
търговското дружество имущество, както и правната възможност за субсидиране на
медицинската му дейност от страна на Министерство на здравеопазването. Имуществото
на не преобразуваните публични здравни заведения се управлява от Кмета на
общината, от упълномощено от него лице или от създадено от Общинския съвет
търговско дружество за стопанисване и управление на собствеността. С посочената
законова регламентация и нейното прилагане, се постига самостоятелно
съществуване на публичното здравно заведение като субект на правото, което се
управлява като всяко друго търговско дружество – по общите правила на
Търговския закон, специалните на Закона за публичните предприятия и на Закона
за лечебните заведения. Министерство на здравеопазването не осъществява
медицинска дейност, а е администрацията, представлявана от органа на публичната
власт – Министъра на здравеопазването, който представлява едноличния собственик
на капитала и като такъв взема решенията, предоставени в компетентността на
общите събрания на едноличните търговски дружества. Това принципно положение от
Търговския закон е изрично възприето в чл.15 ал.1 от Закона за публичните
предприятия- Органът, упражняващ правата
на държавата, взема решенията от компетентността на общото събрание на
съдружниците/акционерите в едноличните публични предприятия и упражнява правата
на съдружник/акционер в публичните предприятия, в които държавата не е
едноличен собственик на капитала. По силата на чл.18 от Закона за публичните
предприятия органът, упражняващ правата на държавата, не се намесва в
управлението или в текущата оперативна дейност на публичното предприятие и
спазва правата му по отношение на упражняването на всички права на собственост
в съответните дъщерни дружества. Следователно правата на държавата, които
Министъра на здравеопазването упражнява и охранява са правата на общото
събрание на съответното ЕООД, което се състои от единствения съдружник –
държавата, която е едноличен собственик на капитала. Съгласно чл.21 от ЗПП, към
който ЗЛЗ препраща за назначаване на управителни органи на публичните
предприятия се извършва конкурс и неговата крайна цел е да се определят органи
за управление и законно представителство, които да отговарят за управлението и
текущата конкретна дейност на търговското дружество, а тя е медицинската.
Следователно и като се има предвид определението на чл. 4 т.7 от Регламента
става ясно, че юридическото лице СБДПЛПФЗР- Радунци е администратора на личните
данни на работниците, служителите и пациентите, които е наело. Отговор на
въпроса кой е администратора на тези лични данни се съдържа в ЗЛЗ и това не е
Министерство на здравеопазването, независимо от юридическия факт, че по силата
на ЗЛЗ министъра на здравеопазването има правомощията на Общото събрание като
представител на едноличния собственик на капитала. Коментирания договор за
възлагане на ликвидацията и определяне на ликвидатор е договор по чл.21 от ЗПП
и няма за предмет определяне на ликвидатора като обработващ лични данни. Самият
ликвидатор не е трето за администратора лице, а представлява самото търговско
дружество, което е администратор, защото медицинската дейност при чието
извършване се събират личните данни – вид обработване, а след това се
съхраняват, за да бъдат предадени на Държавен архив – отново обработване, се
извършва от името на лечебното заведение. Ето защо и в касационната си жалба
АНО твърди, че Министерство на здравеопазването има за пряк и непосредствен
предмет на дейност предоставянето на медицински услуги, съзнавайки, че в своите
Становища е застъпвал корекната и правно вярна теза, че администратор е самото
лечебно заведение, но не и държавата в лицето на Министъра на здравеопазването,
която е собственик на търговското дружество. Законодателството в областта на
здравеопазването предвижда и специални мерки за защита на личните данни, които
се събират и стават известни в хода на извършване на лечебно медицинска
дейност, които не могат да бъдат превъзлагани с договори по чл.28 от
Регламента, какъвто не е и процесния договор за определяне на ликвидатор, който
попада изцяло в приложното поле на Търговския закон и Закона за публичните
предприятия. Най-сетне задължението за предаване на документите – досиета на
Държавен архив е от съдържанието на правоотношенията, които възникват по повод
прекратяване и ликвидиране на търговските дружества, извършващи дейност като
лечебни заведения. Аналогично е на задълженията на работодателите да предадат
данните от трудовите досиета на НОИ. Изпълнението на това задължение за
предаване на архива на ликвидираното дружество не съвпада по своето съдържание
с дължимото по чл.32 от Регламента действие по техническо осигуряване на риска
от нерегламентиран достъп до личните данни, което съществува до момента на
предаване на трудовите и пациентски досиета на Държавен архив при това на друго
основание – поради ликвидация на търговското дружество. Като е достигнал до
извод за незаконосъобразност на наказателното постановление, поради липса на
авторство на деянието, вменено на Министерство на здравеопазването, съдът е
достигнал до верен правен извод. Субект на тази отговорност е администратора
или самото лечебно заведение, но не и държавата като едноличен собственик на
капитала на дружеството, не на имуществото му, и без права да се намесва в
управлението и извършването на медицинската дейност. Контролните правомощия
относно опазване на имуществото при сделки на разпореждане, правата на
назначаване на управителни органи и ликвидатори са вън от фактите, с които чл;4
т.7 от Регламента свързва придобиването на качеството на администратор. Лошото
управление на търговското дружество, дори да се дължи на липса на контрол върху
управителите, на бездействие да се назначи ликвидатор, не съвпада със
задълженията на администратора, които тежат върху самостоятелния субект на
правото.
Водим от тези мотиви и на
основание чл.221 от АПК, Старозагорският административен съд
Р Е
Ш И :
ОСТАВЯ В СИЛА Решение №338/23.12.2022год., постановено
по АНД №265/2022г. по описа на РС Казанлък.
Решението не подлежи на обжалване и/или протестиране.
ПРЕДСЕДАТЕЛ:
ЧЛЕНОВЕ: 1.
2.