Решение № 4907 от 08.11.2024, Софийски районен съд

РЕШЕНИЕ

№ 4907 гр. София, 08.11.2024 г.

В ИМЕТО НА НАРОДА

СОФИЙСКИ РАЙОНЕН СЪД, 100-ЕН СЪСТАВ, в публично заседание на двадесет и втори октомври през две хиляди двадесет и четвърта година в следния състав:

Председател: АЛЕКСАНДРИНА ПЛ.

ДОНЧЕВА при участието на секретаря ДВН като разгледа докладваното от АЛЕКСАНДРИНА ПЛ. ДОНЧЕВА Административно наказателно дело № 20241110210648 по описа за 2024 година

Производството е по реда на чл. 59 и сл. от ЗАНН .

Образувано е по жалба на “** *********“ ЕАД, ЕИК: **********, против Наказателно постановление № 47 от 06.03.2024 г. с което за нарушение на чл. 32, §1, б. „б“ и §2, вр. с чл. 5, §1, б. „е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Регламента) му е наложено наказание „имуществена санкция“ в размер на 1 500 /хиляда и петстотин/ лева на основание чл. 58, §2, б. „и“, вр. с чл. 83, §4, б. „а“ от Регламента и чл. 87, ал. 1 и ал. 3 от Закона за защита на личните данни (ЗЗЛД).

В жалбата са наведени доводи за това, че атакуваното НП следва да се отмени поради допуснати в хода на административнонаказателното производство съществени процесуални нарушения и нарушения, свързани с прилагането на материалния закон.

В открито съдебно заседание, дружеството-жалбоподател, редовно призован, не се представлява.

Въззиваема страна чрез процесуалния си представител – юрисконсулт Тодоров, излага становище за неоснователност на жалбата и моли обжалваното НП да бъде потвърдено. Претендира в полза на страната да се 1 присъдят разноски за юрисконсултско възнаграждение.

След преценка на събраните по делото доказателства, съдът приема за установено следното от фактическа и правна страна:

На 20.07.2023 г. в Комисията за защита на личните данни е постъпил сигнал от Т. Т. П., ЕГН: ********** – потребител на мобилни услуги, предоставяни от дружеството-жалбоподател. В сигнала се твърди и се установява по настоящото дело, че в рамките на един месец на два пъти в електронното приложение на дружеството „** *********“ ЕАД, при вход в профила на Т. П., се визуализирали данни, а именно налична фактура за плащане с титуляр (задължено лице) друго лице, а именно НДН. В тази фактура били налични множество лични данни за лицето – номер на фактура, телефони, личен адрес и дължими суми. Поради това Т. П. подала сигнал до кол центъра на дружеството-жалбоподател, след което информацията била премахната от нейния профил, но на 20.07.2023 г. в профила на П. отново се появила посочената фактура, отнасяща се за друг потребител. Към подадения сигнал до КЗЛД е приложена снимка от приложението, визуализираща достъп до профил с титуляр НДН с адрес: гр. ***********, както и съдържаща се информация относно използвани от потребителя мобилни услуги и дължими такси. По повод на подадения сигнал е извършена проверка от КЗЛД, във връзка с която е изискано писмено становище от дружеството-жалбоподател, каквото е постъпило в КЗЛД и е приобщено като писмено доказателство по настоящото дело. Видно от писменото становище „** *********“ ЕАД заявяват, че действително Т. П. е виждала информация за услуги от профила на НДН, тъй като тази информация се добавила в нейния профил поради грешка по време на миграцията на система с кодове за сигурност и нова, подобра и сигурна инфраструктура. В становището се признава, че първоначалното оплакване на Т. П. до „** *********“ ЕАД е от 07.07.2023 г., след което информацията от нейния профил е премахната, както и че на 24.07.2023 г. тя отново подала същото оплакване и грешката е отстранена успешно на 25.07.2023 г. Тази обстоятелства се потвърждават от свидетеля Т.

Т. П., разпитана в хода на настоящото съдебно производство. Показанията на свидетелката са достоверни гласни доказателствени средства, тъй като не съдържат противоречия и неясноти и напълно кореспондират с другите доказателства по делото. Последното се отнася и до показанията на Т. И. П., 2 разпитана в хода на съдебното производство, която потвърждава гореописаната фактическа обстановка и заявява, че поради установените обстоятелства тя, в качеството си на служител при КЗЛД е съставила Акт за установяване на административно нарушение (АУАН) № 47 от 19.10.2023 г. за извършено от „** *********“ ЕАД нарушение, изразяващо се в това, че дружеството не е отчело естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица, в резултат на което са били разпространени данните на Надежда Николова и е осъществен неоторизиран достъп по споразумение на нейните лични данни, с което е нарушен чл. 32, §1, б. „б“ и § 2 от Регламента. Препис от АУАН е връчен на представляващ дружеството-жалбоподател на 19.10.2023 г., от името на когото е заявено, че в седемдневен срок ще депозира писмени възражения, но такива не са направени. Въз основа на съставения АУАН е издадено обжалваното понастоящем НП № 47 от 06.03.2024 г. от председателя на КЗЛД, с което на основание чл. 58, §2, б. „и“, вр. чл. 83, §4, б. „а“ от Регламента и чл. 87, ал. 1 и ал. 3 от ЗЗЛД, дружеството „** *********“ ЕАД е санкционирано за нарушение на чл. 32, §1, б. „б“ и § 2, вр. чл. 5, §1, б. „е“ от Регламента, като му е наложена имуществена санкция в размер на сумата от 1500 /хиляда и петстотин/ лева. НП е връчено на 26.03.2024 г. видно от известие за доставяне на л. 6 по делото, а срещу него е депозирана жалба на 08.04.2024 г., т. е. жалбата е подадена в 14-дневния срок за това и е процесуално допустима.

Разгледана по същество, жалбата е неоснователна.

Съдът установи изложената фактическа обстановка след анализ на събрания по делото доказателствен материал - писмените доказателства по преписката, приобщени към делото и гласните доказателства, изводими от показанията на свидетелите П. и П..

Според настоящия съдебен състав в хода на административнонаказателното производство не са допуснати съществени процесуални нарушения. Както АУАН, така и издаденото въз основа на него НП отговарят на изискванията на закона по съдържание и са издадени в хода на законосъобразна процедура, като са спазени сроковете за издаването им.

АУАН и НП са съставени от компетентни лица и са надлежно връчени на нарушителя. Не е допуснато съществено процесуално нарушение при 3 издаването на наказателно постановление, обуславящо неговата незаконосъобразност, изразяващо се в неспазване на императивните изисквания на нормата на чл. 57 от ЗАНН.

Съгласно чл. 288, ал. 2 от ДФЕС регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всички държави-членки.

В случая е налице Регламент 2016/679 на Европейския парламент и на Съвета (Регламента) относно защитата на физическите лица във връзка с обработването на лични данни относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО. Съгласно чл. 99 § 2 от Регламента, последният влиза в сила и се прилага от 25.05.2018 г., т. е. този регламент е действащ към момента на издаването на обжалваното НП.

Разпоредбата на чл. 5, §1 – от Регламента „Принципи, свързани с обработването на лични данни“ в б. „е“ предвидено, че личните данни следва да са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки

(„цялостност и поверителност“). Съгласно чл. 32 от

Регламента-„Сигурност на обработването“, §1, б. „б“, „Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване.“, а §2 на същия текст гласи, че „При оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни.“. Според ял. 5, §1, б. „е“ от Регламента, личните данни са обработвани по начин, който гарантира 4 подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност"). Посочените правила се явяват нарушени в конкретния случай, за който се доказва несъмнено, че „** *********“ ЕАД, в качеството на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента, при осъществява не дейността си не е отчел обстоятелството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, като не е приложил подходящи технически и организационни мерки, които да гарантират постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване, в резултат на което е осъществен неразрешен достъп, неразрешено разкриване и разпространение на лични данни – имена, адрес и телефонен номер на клиент на дружеството и потребител на мобилни услуги, които данни се съдържат във фактура № ********* от 19.07.2023 г. относно такси по договор с № *********. С оглед на тези обстоятелства в случая се явява нарушен чл. 32, §1, б. „б“ и § 2, вр. чл. 5, §1, б. „е“ от Регламента, както правилно е приел наказващият орган.

Съгласно чл. 58, § 2 от Регламента всеки надзорен орган има всички от посочените подолу корективни правомощия/посочени в букви „а“ до „и“.: като правомощието му по б „и“ е да налага административно наказание „глоба“ или „имуществена санкция“ съгласно член 83 от Регламента, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай.

Съгласно чл. 83, §4, б. „а“ от Регламента „Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба" или „имуществена санкция" в размер до 10 000 000 EUR или, в случай на предприятие — до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е повисока: задълженията на администратора и обработващия лични данни съгласно членове 8, 11, 25—39 и 42 и 43;“.

В случая за констатираното нарушение наказващият орган правилно е приложил санкционната норма на чл. 58, §2, б. „и“, вр. с чл. 83, § 4, б. „а“ от Регламента, като в НП са изложени мотиви относно размера на 5 административно наказание „имуществена санкция“, като размерът на наложената имуществена санкция от 1500 лева е значително под максимално предвидения размер на санкцията в Регламента.

В случая не е приложима разпоредбата на чл. 28 от ЗАНН с оглед значимостта на охраняваните обществени отношения.

При този изход на делото жалбоподателят няма право на разноски и такива не следва да му се присъждат. Въззиваемата страна има право на разноски и своевременно претендира присъждането на такива за юрисконсултско възнаграждение, поради което искането следва да се уважи.

На основание чл. 63д, ал. 4 от ЗАНН , вр. чл. 37, ал. 1 от Закона за правната помощ вр. чл. 27е от Наредбата за заплащането на правната помощ жалбоподателят следва да бъде осъден да заплати на въззиваемата страна сумата от 150 лева за юрисконсултско възнаграждение.

По тези мотиви и на основание чл. 63, ал. 1 от ЗАНН , съдът РЕШИ:

ПОТВЪРЖДАВА Наказателно постановление № 47 от 06.03.2024 г. с което за нарушение на чл. 32, §1, б. „б“ и §2, вр. с чл. 5, §1, б. „е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Регламента) по отношение на “** *********“ ЕАД, ЕИК: ********** е наложено наказание „имуществена санкция“ в размер на 1 500 /хиляда и петстотин/ лева на основание чл. 58, §2, б. „и“, вр. с чл. 83, §4, б. „а“ от Регламента и чл. 87, ал. 1 и ал. 3 от Закона за защита на личните данни (ЗЗЛД).