Решение № 659 от 17.04.2025, Административен съд - Ловеч

Личните данни в текста са заличени.

РЕШЕНИЕ

№ 659

Ловеч, 17.04.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Ловеч - III състав, в съдебно заседание на втори април две хиляди двадесет и пета година в състав:

Съдия:

ЙОНИТА ЦАНКОВА

При секретар ДЕСИСЛАВА МИНЧЕВА като разгледа докладваното от съдия ЙОНИТА ЦАНКОВА административно дело № 20247130700111 / 2024 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/ във връзка с чл. 145 и сл. от АПК.

Административното дело е образувано по жалба на адв. И. С. М., съдебен адрес: [населено място], [улица], оф. 5, срещу мълчалив отказ на директора на Държавна психиатрична болница [населено място] по депозирано заявление за изтриване на лични данни по чл. 17 от Регламент /ЕС/ 2016/679 с вх. № 435/02.02.2024 г.

Жалбата е подадена чрез ответния административен орган, който я е изпратил ведно с административната преписка, видно от която с писмо с изх. № 191 от 22.02.2024 г. директорът на Държавна психиатрична болница [населено място] е постановил изричен отказ по депозираното от М. заявление за изтриване на лични данни по чл. 17 от Регламент (ЕС) 2016/679 с вх. № 435/02.02.2024 г.

На 08.03.2024 г. в Административен съд - Ловеч е подадена молба с вх. № 813/08.03.2024 г. от адв. И. С. М. срещу изричен отказ, постановен в писмо с изх. № 191 от 22.02.2024 г. от директора на Държавна психиатрична болница [населено място] /ДПБ Ловеч/.

С молба с вх. № 1400/24.04.2024 г. в АдмС Ловеч жалбоподателят адв. И. М. е посочил, че търсената от него защита е по реда на чл. 39, ал.1 от Закона за защита на личните данни /ЗЗЛД/, както и че обжалва писмо с изх. № 191/22.02.2024 г., в което директорът на ДПБ [населено място] постановява изричен отказ във връзка с подадено от него заявление с вх. № 435/02.02.2024 г. за изтриване на лични данни – съгласно чл. 17 от Регламент /ЕС/ 2016/679 и чл. 37б, ал.1 от ЗЗЛД.

В жалбата си оспорващият твърди, че обективираното в медицинската документация на болницата /история на заболяването и епикриза/ представляват вписани несъществуващи факти и обстоятелства, несъответстващи на обективната действителност. Попълнените документи не се отнасяли за него, а за мъж на 30 години, тъй като тогава оспорващият бил на 27 години. С оглед на това, със заявление за изтриване на лични данни съгласно чл. 17 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО оспорващият инициирал административно производство за заличаване на личните му данни – три имена и адрес. В уточняващи молби от 08.03.2024 г. и 24.04.2024 г. се развиват и доводи за допуснато нарушение на административнопроизводствените правила. В заключение се иска да бъде отменен обжалваният отказ и преписката да бъде върната на администратора на лични данни за ново произнасяне.

В съдебно заседание жалбоподателят се явява лично и с адв. Г. от АК Ловеч, като поддържат жалбата и уточненията към нея. От страна на процесуалния представител на оспорващия е направено и искане за присъждане на адвокатско възнаграждение съобразно чл. 38, ал. 2 от Закона за адвокатурата /ЗА/ в размер на 900,00 лв. и 250,00 лв. за явяване в о.с.з.

Ответникът – редовно призован, не се явява и не се представлява в съдебно заседание.

Съдът, след като прецени доказателствата по делото, доводите на страните и след служебната проверка по чл. 168 от АПК на законосъобразността на административния акт, намира за установено следното:

Жалбата е подадена в законоустановения срок, от надлежна страна и срещу индивидуален административен акт, подлежащ на съдебен контрол за законосъобразност. В оспорвания отказ не се съдържат указания за реда и срока, по който може да бъде обжалван, поради което приложение намират правилата за удължаване на сроковете за обжалване по чл. 140, ал. 1 от АПК – до два месеца. Същият е връчен на И. С. М. на 26.02.2024 г., видно от известието за доставяне на л. 23 от делото. В този смисъл и доколкото жалбата е подадена на 23.02.2024 г. /л. 3/, а уточняващата молба срещу изричния отказ – на 08.03.2024 г., то оспорването е осъществено в рамките на двумесечния преклузивен срок.

Видно от представеното по делото Удостоверение с изх. № ППН-01-1313#1 от 10.12.2024 г. на председателя на Комисията за защита на личните данни /КЗЛД/ /л. 51/, не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от И. С. М. срещу директора на Държавна психиатрична болница [населено място].

Предвид изложеното, жалбата е допустима и следва да бъде разгледана.

Жалбата е основателна.

При цялостната проверка на законосъобразността на процесния ИАА, на основание чл. 146 и чл. 168 от АПК съдът намира същият за незаконосъобразен поради противоречие с материалноправните разпоредби на закона и несъответствие с целта на закона – отменителни основания по чл. 146, т. 4 и т. 5 от АПК.

Съдът, като обсъди събраните по делото доказателства, които са подробни, ясни и непротиворечиви по между си, поради което съдът ги кредитира, намира за установено от фактическа страна следното:

О. И. С. М. подал съгласно чл. 17 от Регламент /ЕС/ 2016/679 заявление за изтриване на личните му данни, съдържащи се в документацията на Държавна психиатрична болница /ДПБ/ [населено място], а именно: три имена и адрес.

Към заявлението са приложени копия от История на заболяването № 19/2001 г. /л. 12/ и Епикриза КОД: 300/15.01.2001 г. /л. 13/.

Във връзка с постъпилото заявление от директора на ДПБ [населено място] бил издаден отказ, обективиран в писмо с изх. № 191 от 22.02.2024 г. /л. 9-10/. В отказа са изложени мотиви, изразяващи се в цитиране на разпоредбите на § 1, т. 1 от ДР на Закона за здравето /ЗЗ/ и чл. 27, ал. 1 от ЗЗ, както и общо позоваване на Наредба № 1 от 27.02.2013 г. за предоставяне на медико-статистическа информация и на информация за медицинската дейност на лечебните заведения, издадена от министъра на здравеопазването, както и Наредба № 24 от 07.07.2004 г. Като основен довод за издаването на акта се сочи, че съобразно чл. 29, ал. 3 от Вътрешните правила на ДПБ [населено място] за набирането, съхранението и използването на лични данни и Номенклатурата за съхраняване на медицинска документация, приета и утвърдена съгласно Наредбата за реда за организирането, обработването, експертизата, съхраняването и използването на документите в учрежденските архиви на държавните и общинските институции, приета с ПМС № 41 от 18.02.2009 г., психиатричните досиета и историята на заболяване на пациентите се съхранява за срок от 25 години.

От правна страна съдът приема следното:

Не се спори между страните, а и се установява от трудов договор № РД-15-34/12.01.2024 г. /на л. 36-38 от делото/, че издателят на обжалвания в настоящото производство отказ – д-р Людмил Тумбев е заемал длъжността директор на ДПБ [населено място]. Ето защо съдът намира, че същият разполага с компетентност да издаде отказ от вида на процесния, като липсва отменително основание по чл. 146, т. 1 от АПК.

Обжалваният административен акт съдържа необходимите реквизити, съгласно изискването на чл. 59, ал. 2, във вр. с чл. 146, т. 2 от АПК. Доколко същите са съответни на приложимия материален закон подлежи на преценка при изследване на материалната законосъобразност на отказа.

Не се установяват съществени нарушения на административнопроизводствените правила по чл. 146, т. 3 от АПК. Следва да се посочи, че не всяко нарушение, а само съществено нарушение на административнопроизводствените правила е основание за отмяна по чл. 146, т. 3 от АПК.

Съдът намира, че постановеният отказ е издаден в нарушение на приложимите материалноправни разпоредби, а от там и в нарушение на целта на закона.

Общият регламент относно защитата на данните Регламент /ЕС/ 2016/679, наред със ЗЗЛД, определят правилата за защита на основните права, свободи и интереси на физическите лица във връзка с обработването на личните им данни и по-специално правото на защита на личните данни.

Регламент /ЕС/ 2016/679 въвежда редица изменения при обработването и защитата на личните данни. Едно от съществените по отношение на правата на гражданите е по-подробното регламентиране на правото на изтриване /или правото „да бъдеш забравен”/. Това право дава възможност, когато субектът на данни не желае данните му да бъдат обработвани и не съществуват легални основания за тяхното съхранение, те да бъдат заличавани.

По отношение на правото „да бъдеш забравен”, следва да се спомене решението на Съда нa Европейския съюз по казуса GoogleSpain /C-131-12/, произнесено през май 2014г., насочено към изясняване на няколко важни въпроса, свързани с правото на субектите на лични данни да бъдат забравени, обективирано първо в отменената Директива 95/46/ЕО. В него Съдът решава, че с оглед на основната цел на Директива 95/46/ЕС, а именно да се осигури ефективна защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот, тълкуването на разпоредбата, свързана с приложимостта на правото на ЕС, не може да бъде ограничително.

Правото „да бъдеш забравен” е доразвито в чл. 17 от Регламент /ЕС/ 2016/679, създавайки високо ниво на защита на личните данни. Съгласно § 1 на въпросната разпоредба, субектът на данни може да поиска, а администраторът е длъжен да изтрие без ненужно забавяне конкретните лични данни. Горната възможност би могла да бъде осъществена единствено при наличието на следните основания: личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин; субектът на данните оттегля своето съгласие, върху което се основава обработването на данните; субектът на данни възразява срещу обработването и няма преимуществено законово основание за продължаване на обработването; личните данни са били обработвани незаконосъобразно; личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора; личните данни са били събрани във връзка с предлагането на услуги на информационното общество на дете.

Налице са и редица ситуации, в които администраторът има възможност да откаже да изтрие данните, а именно когато обработването на конкретните данни има за цел: да упражнява правото на свобода на изразяване и информация; да изпълнява правно задължение или да изпълнява задача от обществен интерес или упражняване на публична власт; за целите на общественото здраве; архивиране за цели в обществен интерес, научноизследователски исторически изследвания или статистически цели; или установяване, упражняване или защитата на правни претенции.

Предвид горното, правото „да бъдеш забравен” не е абсолютно право. Всеки субект на данни може да се възползва от него единствено при наличие на конкретно основание. В настоящия случай обаче, обжалваният изричен отказ не е обоснован с нито едно от основанията, обуславящи възможността на администратора на лични данни да откаже да изтрие данните, така както е посочено в чл. 17, § 3 от Регламент /ЕС/ 2016/679. Недопустимо е в съдебното производство съдът с решението си да аргументира обжалвания индивидуален административен акт или да извлича основанията, обуславящи възможността на администратора на лични данни да откаже да изтрие данните, така както е посочено в чл. 17, § 3 от Регламент /ЕС/ 2016/679 по тълкувателен път. Отделно, в процесния отказ не е обосновано дали личните данни все още са необходими за целите, за които са били събрани или обработвани.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот, чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни. Според легалното определение на чл. 4, т. 1 от Регламент /ЕС/ 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /“субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. По смисъла на чл. 4, т. 2 от Регламент /ЕС/ 2016/679 „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване по друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.