Решение по дело №380/2021 на Административен съд - Пазарджик

Р   Е   Ш   Е   Н   И   Е  № 745/19.10.2021г.

гр. Пазарджик, 19.10.2021 година

В ИМЕТО НА НАРОДА

Административен съд Пазарджик, девети състав, в открито съдебно заседание на двадесет и осми септември , две хиляди двадесет и първа  година, в състав:

Председател: НИКОЛИНА ПОПОВА

при секретар А.Метанова, като разгледа докладваното от съдия Попова административно дело № 380/2021 г., за да се произнесе, взе предвид следното: 

 

              Производството е  по реда на  чл.145 и сл. от АПК , във връзка с  чл. 38, ал. 7, във връзка с чл. 38, ал. 3 от Закона за защита на личните данни. Образувано е по жалба на С.И.Ш., ЕГН : **********,***, с посочен адрес за кореспонденция гр. С.., бул. „В. Л.“, № .., ет. ., офис .., адв. К.М., срещу Решение № ППН-01-989/2018г. от 26.03.2020г. на Комисия за защита на личните данни, гр. С.., бул. „ проф. „Ц. Л..“, № .., с което жалба № ППН-01-989 от 05.12.2018г., подадена от М.Д.Ш., като майка и законен представител на Т.С.Т., срещу д-р С.И.Ш. е приета за основателна, като за нарушение на чл. 9, § 1 от Общия регламент за защита на данните,  на основание чл. 58, §2, б. „и“, във връзка с чл. 83, §5, б. „а“ от Общия регламент за защита на данните, на д-р С.И.Ш., в качеството ѝ на администратор на лични данни е наложена глоба в размер на 5000,00лв.

               Жалбоподателят счита оспореното решение за нищожно, поради неспазване на установената в закона форма, съответно за постановено в противоречие с материални закон и при допуснати съществени нарушения на процесуалния закон.

              Комисия за защита на личните данни, гр. София, в представени по делото писмени бележки е на становище, че жалбата е неоснователна. Поддържат се изцяло фактическите констатации и правните изводи, формирани в оспореното решение. Счита се, че извършеното от д-р Ш. нарушение на правилата при обработване на чувствителни лични данни, чрез публикуването  им в социалната мрежа Facebook е несъмнено установено.Моли се жалбата да бъде оставена без уважение.Възразява се относно размера на претендираното от жалбоподателя адвокатско възнаграждение.

            Конституирания като заинтересована страна – засегнат от административното нарушение непълнолетен, лично и чрез своята майка – редовно призовани – не се явяват в съдебно заседание и не вземат становище по допустимостта и основателността на жалбата. 

               Пазарджишкият административен съд, девети състав, след преценка на събраните по делото доказателства и като взе предвид становищата на страните, намира за установено следното от фактическа страна:

              Административното производство е започнало с подадена до Комисия за защита на личните данни от М.Д.Ш.,*** жалба рег. № ППН-01-989 от 05.12.2018г., в която е заявено, че тя е майка на малолетния Т.С.Т.. Във връзка с необходимост от преглед на детето от офталмолог се наложило да получи направление от педиатъра д-р С.И.Ш.,***. След посещение в лечебното заведение, останала недоволна от обслужването и профила си във Facebook, публикувала съобщение, с което изразила недоволство от отношението на педиатър без да споменава никакви имена. Според Ш., д-р Ш. явно е прочела съобщението ѝ, и въпреки че Ш. не я била посочила поименно, д-р Ш. написала опровержение в което твърдяла, че е издала направлението. В потвърждение на това, д-р Ш. публикувала в профила си във Facebook снимка на самото направление, на което ясно се виждаха личните данни на детето Т.С.Т., като е било възможно, това съобщение да бъде видяно от всички. След пет дни, явно разбрала, че е извършила нещо нередно, д-р Ш. премахнала съобщението си с направлението.

В хода на административното производство до д-р С.Ш. е изпратено Уведомление № ППН-01-989#1 от 17.01.2019 г. с указан срок за становище по изложените в жалбата твърдения. Във връзка с това д-р Ш. е депозирала Отговор № ППН-01-989#3 от 30.01.2019 г., в който е изложила ситуацията по повод издаденото направление. Посочила, че поради негативни изказвания на граждани в отговор на публикацията на М.Ш. и публикуването от последната на имената на некоректните педиатри, сред които е нейното, решила да се защити. В състояние на афект и без никакъв умисъл публикувала направлението, за да докаже, че Ш. я обвинява неправомерно и че направлението е издадено на 13.11.2018 г.

На заседание на Комисията, проведено на 04.12.2019г, жалба per. № ППН-01-989 от 05.12.2018г. е обявена за допустима, а като страни в административното производство са конституирани М.Ш. - лично, Т.Т., чрез законния си представител М.Ш. и д-р С.Ш.. Насрочено е открито заседание за 15.01.2020 г.

В открито заседание е предложено жалбата да бъде приета за основателна, като на д-р Ш. се наложи наказание глоба в размер на 5 000,00 лв.

На 26.03.2020 г. е постановено процесното Решение № ППН-01-989/2018 г. В мотивите на същото, след анализ на разпоредбите на чл. 4, т. 1, т. 2, т. 15, чл. 9, параграф 1 и параграф 2 от ОРЗД Комисията е приела, че д-р Ш. е администратор на лични данни. Същата е публикувала в личния си профил във Facebook снимка на направление, в което се съдържат лични данни, а имено три имена на дете, ЕГН, адрес и диагноза на малолетното дете на Ш., които попадат в обхвата на понятието „специална категория“ данни. Според Комисията, въпреки че платформата Facebook е ползвана от д-р Ш. като физическо лице, не може да се приеме, че д-р Ш. е ползвала Facebook за лични и домашни цели, с оглед на факта, че е разпространила информация, която й е станала известна във връзка с изпълнение на служебните й задължения на лекар, като съгласно Кодекса за професионална етика на лекарите в България същата е длъжна да пази лекарска тайна. Отбелязано е, че д-р Ш. не отрича публикуването на процесното направление. Според Комисията, ирелевантни по казуса са описаните обяснения от д-р Ш., за причината за публикуване на процесното направление. Прието е, че е нарушена разпоредбата на чл. 9, параграф първи от Регламент (ЕС) 2016/679. Позовавайки се на чл. 58, параграф втори от ОРЗД, Комисията е изложила съображения, че следва да наложи административно наказание.

 Въз основа на така установената фактическа обстановка, съдът прави следните правни изводи:

Жалбоподателката д-р Ш.  е адресат на оспорената заповед, правата й са пряко и непосредствено засегнати от нея, поради което за нея е налице правен интерес от оспорване. Оспореното решение е връчено на неговия адресат на 30.03.2020 г. , а според неоспоените по делото писмени доказателства /товарителница и известие за доставяне/ жалбата  е постъпила в куриерската служба  на 27.05.2020 г. При това положение следва да се приеме, че жалбата е подадена в рамките на установения за това преклузивен процесуален срок/ в тази връзка чл.3 т.2 от Закона за мерките и действията  по време на извънредното положение / и при наличието на правен интерес от оспорването, поради което се явява допустима.

Разгледана по същество е основателна  по следните съображения:

Оспореният акт е издаден от компетентен орган, в кръга на неговите правомощия, съгласно чл. 38, ал. 3, вр. с чл. 10, ал. 1, т. 7 ЗЗЛД. Като колективен орган, Комисията е взела процесното решение при наличие на изискуемия кворум и мнозинство, съгласно чл. 8, ал. 6 и, ал. 7 от Правилника за дейността на КЗЛД и нейната администрация (ПДКЗЛДНА).Съгласно разпоредбата на чл. 38, ал. 3 ЗЗЛД, при подадена до КЗЛД жалба от субектът на данни, който счита, че са нарушени правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД, комисията се произнася с решение, като може да приложи мерките по чл. 58, § 2, букви "а" - "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета. Т. е., доколкото комисията е сезирана от лице, считащо, че са нарушени правата му по ЗЗЛД, като е осъществен неправомерен достъп до негови лични данни / в случая до данни на малолетното тогава дете , действащо чрез неговата майка и законен представител/, то в нейните правомощия е да се произнесе с решение, което подлежи на оспорване на административния съд.

Административният акт е издаден в изискуемата писмена форма. Решението съдържа всички изискуеми реквизити, предвидени в чл. 59, ал. 2 АПК, включително фактическите и правни основания за негово издаване. Волята на органа е обективирана в диспозитивната част, като решението съответства на изложените мотиви. Не се доказва наличие на порок във формата на акта, представляващ самостоятелно основание за неговата отмяна по смисъла на чл. 146, т. 2, вр. чл. 59, ал. 2, т. 4 АПК.

Решението е издадено при липсата на допуснати нарушения на административнопроизводствените правила, които да бъдат квалифицирани като съществени по смисъла на чл. 146, т. 3 АПК и да обуславят отмяната му. Съдът намира, че нарушението на административнопроизводствените правила е съществено само тогава, когато е повлияло или е могло да повлияе върху крайното решение по същество на административния орган. Видно от представената административна преписка производството е инициирано от жалбоподателя, който е изложил съображения за допуснати от страна на посочения от него лекар  нарушения. По жалбата е образувана преписка, за която са информирани конституираните страни, проведено е проучване, събрани са писмени доказателства, проведено е открито заседание, за което страните са били редовно уведомени, но не са присъствали, след което, след изясняване на жалбата от фактическа страна, комисията, на свое заседание е взела решението си, като е издала и изричен писмен акт – решение, в което е изложила съображенията си и крайното си решение.Предвид изложеното, съдът приема, че при постановяване на решението не са допуснати съществени процесуални нарушения, представляващи основания за отмяна. В тази връзка съдът съобразява и доводите изложени в мотивите на отменителното решение № 4080/31.03.2021 г. по адм. № 13597/2020 г. по описа на ВАС , V о.

Процесното решение е постановено в нарушение на  материалния закон.

В настоящия случай КЗЛД е наложила административно наказание на основание на разпоредбата на чл. 58 параграф 2 , б.“и“ във връзка с чл. 83, параграф 5 б.““а“ от Регламент /ЕС /2016/679 за нарушение на чл. 9 ,параграф 1 от същия регламент, които разпоредби на ОРЗД са били действащи към датата на извършване на нарушението. Съгласно чл.9 „Обработване на специални категории лични данни“ , параграф 1 – се забранява  обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице“.

В настоящото производство не се оспорва установената и от административния орган фактическа обстановка , а именно : Д-р С.Ш.  е публикувала в личния си профил във Facebook снимка на направление, в което се съдържат лични данни, а имено три имена на дете, ЕГН, адрес и диагноза на малолетното дете на Ш., които попадат в обхвата на понятието „специална категория“ данни регламентирани в посочения по-горе текст на чл.9 параграф 1 от ОРЗД .

                  След анализ на събраните по делото доказателства съдът намира за неоснователни изложените в жалбата възражения, в посока на това , че  платформата Facebook е ползвана от д-р Ш. като физическо лице и че  д-р Ш. е ползвала Facebook за лични  цели/ чл.1 ал.9   от ЗЗЛД /в редакцията действаща към момента на извършване на нарушението  ДВ, бр. 81 от 2011 г./  във връзка с чл. 3 ал.1 и ал.2 от ЗЗЛД / в действащата редакция - ДВ, бр. 91 от 2006 г./

                  Безспорно д-р Ш. е разпространила информация, която й е станала известна във връзка с изпълнение на служебните й задължения на лекар. Съгласно параграф 1 т.1 от ДР на ЗЗЛД / в приложимата редакция  ДВ, бр. 91 от 2006 г.), по смисъла на закона :"Обработване на лични данни" е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране,съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба,разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване. Съгласно чл. 3. ал.1 /Изм. - ДВ, бр. 91 от 2006 г./Администратор на лични данни, е физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който сам или съвместно с друго лице определя целите и средствата за обработване на личните данни.Съгласно ал.2 от същия законов текст администратор е и физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който обработва лични данни,видът на които, целите и средствата за обработване се определят със закон, като в тези случаи администраторът или специфичните критерии за неговото определяне

са нормативно уредени.

               Следователно достатъчно е да се извършва обработване на лични данни по смисъла на закона , за да се превърне едно физическо лице / както е и в настоящия случай / в администратор на лични данни. Поради което и жалбоподателят д- р Ш., придобивайки качеството на регистратор на лични данни / чрез извършената от нея публикация/ може да бъде субект на отговорност по ЗЗЛД , съответно по отношение на нея да се установява извършването на нарушения при обработването на данни от такъв характер.Неоснователен е доводът на жалбоподателката, че в случая е приложима нормата на чл. 1 ал.9 ЗЗЛД / в действащата редакция/, обработването на лични данни, извършвано от физически лица за техни лични или домашни дейности,  тъй като публикуването на медицинското направление сдържащо лични данни на малолетното дете е било извършено в интернет мрежата и макар , това да е станало в рамките на създадена регионална група  е създало възможност то да достигне до широк кръг от лица, което изключва личния характер на една такава публикация.

           Съдът намира , че в случая не е налице нито едно от изключенията предвидени в чл. 9 параграф 2 от  ОРЗД. Доводът на жалбоподателя , че данните са обработени правомерно въз основа на предварително изразено от майката на малолетното дете  съгласие за това, е неоснователен. Действително , видно от извлеченията от публикации се установява , че г-жа Ш.  е заявила намерението си  тя самата да снима и покаже процесното направление. Това волеизявление на физическото лице обаче се отнася само до документа , като факт за неговото съществуване и евентуално до датата на издаването му , но в никакъв случай не съдържа и не включва изрично  съгласие личните данни на малолетното дете да бъдат предоставяни на трети лица с такава цел.

           Възражението на жалбоподателката, че данните са използвани под афект  и без съзнанието да навреди или да получи облага, а с единствената цел за защита на  нейни лични права  - преди всичко гарантираното право на личен живот  по смисъла на чл.7 от Хартата на основните права на ЕС-  поради което не са налице основания за санкциониране, съдът преценява за неоснователно. Целта на  самия приложим Регламент е  именно съвместяването на правото на защита на личните данни с други защитими права на гражданите - в съответствие с началото за еднакво зачитане на всички основни права. Така, в контекста на изложеното, за да се прецени спазването на баланса между тези права  и наличието на извършено нарушение от страна на администратора на лични данни, следва да се изходи  от една страна от същността на правото на защита на личните данни и от друга  -неприкосновеността на личния живот. Съгласно чл. 7 от Хартата за основните права на ЕС - „ Зачитане на личния и семейния живот“ - всеки има право на зачитане на неговия личен и семеен живот, на неговото жилище и тайната на неговите съобщения, а съгласно чл. 8 „Защита на личните данни“ – всеки  има право на защита на неговите лични данни, като тези  данни трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание“.

Регламент 2016/679 дава засилена защита на физическите лица във връзка с обработването на личните данни, но и поддържа равновесие с другите основни права, в частност с правото на личен живот, на което се позовава жалбоподателката.  Защото защитата на личните данни не може да е за сметка на правото на личен живот , тъй като нито  едното право не е по-значимо от другото. В  конкретния случай обаче характера на публикуваната информация, съдържаща  лични данни  и данни за здравословно състояние на субекта на данни / малолетно дете / не дава основание да се приеме, че при постановяването на оспорения в настоящото производство административен акт, балансът  е бил нарушен и използването на лични данни не е в нарушение на заложените в нормите от цитираните разпоредби на приложимите ЗЗЛД и Регламент.Това е така , тъй като именно основното право на неприкосновеност на личния живот, включва като своя част  и защитата на лични данни, което право в случая е нарушено  по отношение на малолетното дете. Затова правилно контролният орган  е направил своите изводи  с оглед съпоставянето на интересите на жалбоподателката,но и като  е взел предвид и  защитата на правото на личен живот , част от което право е  и защитата на лични данни на самото малолетно дете.

Безспорно е налице осъществено нарушение на жалбоподателката  по чл. 9 параграф 1  от ОРЛД. Съгласно чл. 38, ал. 3 от ЗЗЛД, Комисията се произнася с решение, като може да приложи мерките по чл. 58, параграф 2, букви "а" – "з" и "й" от Регламент (ЕС) 2016/679 /т. е. без б. „и“/, или по чл. 80, ал. 1, т. 3, 4 и 5 от ЗЗЛД, и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета. В случая, КЗЛД не е приложила мерки по чл. 80, ал. 1, т. 3-5 от ЗЗЛД и/или мерки по чл. 58, ал. 2 б. "а"-б. "з" и б. "й" от ОРЛД, като вместо тях е наложила само административно  наказание по чл. 83 от ОРЛД.

Наложена е глоба  съгласно  чл. 83 § 5 от ОРЛД. Съгласно чл. 85, ал. 6 от ЗЗЛД, размерите на предвидените в ал. 1 – 5 на чл. 85 от ЗЗЛД административни наказания се определят съгласно посочените в чл. 83, § 2 от Регламент (ЕС) 2016/679 критерии и се налагат в тяхната левова равностойност. В резюме, избирайки да наложи административно  наказание-глоба, КЗЛД е  наложила санкцията в размера по чл. 83 § 5 от ОРЛД, като  е определила конкретния размер по критериите на чл. 83 § 2 от ОРЛД. Размерът от 5000,00 лв., КЗЛД е приела за най-ефективен, пропорционален и възпиращ, значително по-нисък от предвидения в чл. 83 § 5 от ОРЛД - максимален размер от 20 000 000 евро, като са развити подробни аргументи относно критериите за определянето му съгласно хипотезите на § 2 от чл. 83 на ОРЛД.

Към настоящия момент и към момента на постановяване на процесното решение обаче е в сила различен правен режим за налагане на адм. наказание "глоба".В разпоредбата на чл. 85  /Нов - ДВ, бр. 17 от 2019 г./: са предвидени няколко текста насочващи към санкционната норма на чл.83 параграф 5 от Регламента / -За нарушения по чл. 12а, ал. 2, чл. 25ж, ал. 1 и 2, чл. 25з, ал. 1 и 2, чл. 25и, чл. 25к и чл. 25н на администратора или обработващия лични данни се налага глоба или имуществена санкция в размерите по чл. 83, параграф 5 от Регламент (ЕС) 2016/679.-За нарушения по чл. 45, чл. 49, чл. 51, чл. 53 - 56 и чл. 80, ал. 1, т. 1 и 2 на администратора или обработващия лични данни се налага глоба или имуществена санкция в размерите по чл. 83, параграф 5 от Регламент (ЕС) 2016/679.- За неизпълнение на влязло в сила решение по чл. 84, ал. 2, с което са приложени принудителни административни мерки по чл. 80, ал. 1, т. 4 и 5, на администратора или обработващия лични данни се налага глоба или имуществена санкция в размерите по чл. 83, параграф 5 от Регламент (ЕС) 2016/679./

Според чл. 86 ал.1 /Нов - ДВ, бр. 17 от 2019 г./ "За други нарушения по този закон на администратор или обработващ лични данни се налага глоба или имуществена санкция до 5000,00 лв., а съгласно ал.2  - За нарушение по ал. 1, извършено повторно, се налага глоба или имуществена санкция в двоен размер на първоначално наложената. "

Очевидно при действащата уредба, изложеното от фактическа страна от административния орган  нарушение на чл. 9, параграф 1, буква "а" от Регламента е наказуемо по чл. 86. /Нов - ДВ, бр. 17 от 2019 г./, ал. 1 от ЗЗЛД, тъй като не покрива нито един от съставите визирани в чл. 85 ЗЗЛД.Т. е., действащата нормативна уредба е по-благоприятна за извършителя на нарушението, обстоятелство, което въобще не е изследвано от административния орган и не е обсъждана възможността за налагане на наказание по тази санкционна норма. Принципът за приложение на по-благоприятната норма при ангажиране на административно – наказателна отговорност е уреден в чл. 3, ал. 2 от ЗАНН и въпреки, че същият не е директно приложим , то основните принципи като този следва да се прилагат при налагане на административно  санкции, като в противен случай биха се нарушили грубо правата на защита на наказаните субекти. Очевидно режимът на налагане на административна  санкция в действащата редакция на ЗЗЛД е много по-либерален, като таванът на наложено наказание е 5000,00 лева, при липса на минимален размер, докато този по чл. 85 ЗЗЛД във връзка с чл.83 пар.5 от Регламента предвижда много по-висок максимален  размер , при наличието на който КЗЛД е определила процесната глоба  в „малък размер „. Като е наложил този размер на санкция, административният орган е нарушил правото на защита на жалбоподателя, а наложената санкция се явява  изключително завишена/ от гледна точка на различните максимални размери, като база за нейното определяне/.

Предвид гореизложеното, съдът намира, че така подадената жалба е основателна и като такава следва да бъде уважена, като се отмени оспореното решение.

С оглед на изхода от спора в полза на жалбоподателката следва да се присъдят сторените по делото разноски , съобразно представения по делото списък по чл. 80 ГПК в размер на 600,00 лв. за заплатен адвокатски хонорар.Съдът намира за неоснователно, възражението на процесуалната защита на ответника за прекомерност, тъй като адвокатският хонорар в претендирания размер съответства на фактическата и правна сложност на делото и на размера предвиден в чл.8 ал.3 от Наредба № 1 за МРАВ.

Предвид изложеното и на основание чл. 172, ал. 2 АПК, съдът  :

 

                                        Р Е Ш И  :

 

              ОТМЕНЯ по жалба на С.И.Ш., ЕГН : **********,***, с посочен адрес за кореспонденция гр. С.., бул. „В. Л..“, № .., ет. ., офис .., адв. К.М., Решение № ППН-01-989/2018г. от 26.03.2020г. на Комисия за защита на личните данни, гр. С., бул. „ проф. „Ц. Л.“, № .., с което жалба № ППН-01-989 от 05.12.2018г., подадена от М.Д.Ш., като майка и законен представител на Т.С.Т., срещу д-р С.И.Ш. е приета за основателна, като за нарушение на чл. 9, § 1 от Общия регламент за защита на данните,  на основание чл. 58, §2, б. „и“, във връзка с чл. 83, §5, б. „а“ от Общия регламент за защита на данните, на д-р С.И.Ш., в качеството ѝ на администратор на лични данни е наложена глоба в размер на 5000,00лв.

            ОСЪЖДА Комисия за защита на личните данни, гр. С.., бул. „ проф. „Ц. Л..“, №… да заплати на С.И.Ш., ЕГН : **********,***, с посочен адрес за кореспонденция гр. С…, бул. „В.. Л…“, № .., ет. ., офис .., чрез адв. К.М. сторените по делото съдебно- деловодни разноски в размер на 600,00 лв.

Решението подлежи на обжалване пред Върховния административен съд на Република България в 14-дневен срок от съобщението до страните.

Препис от решението да се връчи на страните по делото.

 

 

 

СЪДИЯ: (П)

 

Решение от 24.2.2022г. по Административно дело 12419/2021 Върховен административен съд
Решение № 1796 от 24.02.2022 г. на ВАС София, Пето отд. по адм. д. № 12419/2021 г. - ОСТАВЯ В СИЛА решение № 745 от 19.10.2021 г., постановено по адм. дело № 380/2021 г. по описа на Административен съд - Пазарджик.
Решението е окончателно.