Решение № 2372 от 30.06.2025, Софийски районен съд

Личните данни в текста са заличени.

РЕШЕНИЕ

№ 2372 гр. София, 30.06.2025 г.

В ИМЕТО НА НАРОДА

СОФИЙСКИ РАЙОНЕН СЪД, 4 -ТИ СЪСТАВ, в публично заседание на двадесет и шести септември през две хиляди двадесет и трета година в следния състав:

Председател: ВЕСЕЛА СТ. ДОНЧЕВА при участието на секретаря ЙОРДАНА П. ТАШЕВА в присъствието на прокурора С. като разгледа докладваното от ВЕСЕЛА СТ. ДОНЧЕВА Административно наказателно дело № 20221110200094 по описа за 2022 година Производството е по реда на чл.87,ал.1 Закон за защита на личните данни /ЗЗЛД/, обнародван ДВ бр.1 от 04 януари 2022година, в сила от 01 януари 2022година - актуална редакция на разпоредбата, след изменението и допълнението в нормативния акт, обнародвани ДВ бр.17 от 26 февруари 2019година вр. чл.58д - чл.63д Закон за административните нарушения и наказания /ЗАНН/ - редакцията след изменението и допълнението в нормативния акт, обнародвани ДВ бр.109 от 22 декември 2020година, в сила от 23 декември 2021година.

Образувано е по жалба на Агенция по вписванията /АВ/, подадена срещу наказателно постановление №005, издадено на 09 декември 2021година от председателя на Комисията за защита на личните данни /КЗЛД/, с което на АВ, в качеството на администратор на лични данни, са наложени при условията на чл.18 ЗАНН, четири “имуществени санкции” отделно - в размер 70 000лв., за нарушение по чл.5,б.“е“ вр. чл.24,§1 и §2 Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Регламент /ЕС/ 2016/679/; в размер 50 000лв., за 1 нарушение по чл.35 Регламент /ЕС/ 2016/679; в размер 100 000лв., за нарушение по чл.5 и чл.25 Регламент /ЕС/ 2016/679 и в размер 30 000лв., за нарушение по чл.25ж,ал.2 ЗЗЛД - актуална редакция на разпоредбата, след изменението и допълнението в нормативния акт, обнародвани ДВ бр.17 от 26 февруари 2019година, за това, че в рамките на проверка, започнала по данни в Одитен доклад, приет с решение №259 от 05 август 2021година на Сметна палата на Република България, следвано като действие от сезиране на КЗЛД от страна на Сметната палата, чрез изпращане на Одитния доклад, приет с писмо от 16 август 2021година, като проверката е била проведена от 03 септември 2021година до 12 октомври 2021година, е било констатирано, че АВ не е предприела до месец юни 2020година - 24месеца след като е започнало прилагането на Регламент /ЕС/ 2016/679 на 25 май 2018година, своевременни и ефективни действия за въвеждане на подходящи технически и организационни мерки при обработването на личните данни, съобразени с естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, които мерки да включват прилагане на подходящи политики за защита на данните, с които да отговори на рисковете и проблемите и да включват подхода и действията за постигане на целите и изискванията на Регламент /ЕС/ 2016/679 - административно нарушение по чл.5,б“е“ вр. чл.24,§1 и §2 Регламент /ЕС/ 2016/679; констатирано е било още, че АВ не е отчела рисковете с различна вероятност и тежест за правата и свободите на физическите лица, във връзка с естеството, обхвата, контекста и целите на обработваните лични данни, не е извършила анализ и оценка на риска, съобразно уязвимостите на своите системи и възможните атаки, насочени срещу тези уязвимости, не е осигурила адекватно и целесъобразно управление на рисковете за правата и свободите на физическите лица, произтичащи от обработването на личните им данни, както и не е извършила оценка на въздействието по отношение правата и свободите на физическите лица, независимо от законовото си задължение, съгласно т.6 от Списък на КЗЛД и публикуван на сайта на последната, за задължително извършване на оценка на въздействието от страна на администраторите при редовно и систематично обработване, при което предоставянето на информацията по чл.19 Регламент /ЕС/ 2016/679 от администратора на субекта на данни е невъзможно или изисква несъразмерно големи усилия - административно нарушение по чл.35 2

Регламент /ЕС/ 2016/679; констатирано е било, че АВ не е предприела своевременни и ефективни действия за защита на данните на етапа на проектирането и по подразбиране на своите системи, които следва да са разработени, с оглед на ефективното прилагане на принципите за защита на данните и интегриране на необходимите гаранции в процеса на обработване, за да се спазят изискванията на Регламент /ЕС/ 2016/679 и да се осигури защита на правата на субектите на данни, в резултат на което и в нарушение на чл.2,ал.2 Закон за търговския регистър и регистър на юридическите лица с нестопанска цел /ЗТРРЮЛНЦ/, АВ е допуснала предоставянето на достъп на неограничен кръг лица до личните данни на публикуваните документи по партидите на търговци и юридически лица с нестопанска цел в ТРРЮЛНЦ, въз основа на които са били правени вписванията, обявяванията и заличаванията, в които документи се съдържат незаличени лични данни на физически лица - административно нарушение по чл.5 и чл.25 Регламент /ЕС/ 2016/679 и на последно място - АВ не е приложила ефективни технически и организационни мерки за защита на личните данни и за гарантиране спазването принципите и изискванията на Регламент /ЕС/ 2016/679 и конфигуриране на системите си по подразбиране, в резултат от което е допуснала единният граждански номер /ЕГН/ да бъде единствен идентификатор при предоставянето на отдалечен достъп до услуги по електронен път, в разрез с решение от 21 март 2018година на КЗЛД, публикувано на сайта на институцията на 27 април 2018година, задължително за всички администратори на лични данни в Република България, както дадени указания на всички администратори на лични данни да предприемат необходимите технически и организационни мерки, така, че ЕГН да не е единствен идентификатор, позволяващ отдалечен достъп до услуги, особено, когато те включват лични данни на физически лица, транспонирано в чл.25ж ЗЗЛД - административно нарушение по чл.25ж,ал.2 ЗЗЛД и чл.25 Регламент /ЕС/ 2016/679.

В жалбата, подадена в приложимия към времето на подаването законоустановен седемдневен срок /чл.87,ал.1 ЗЗЛД вр. чл.59,ал.2 ЗАНН редакция на последната разпоредба, преди изменението и допълнението в нормативния акт, обнародвани ДВ бр.109 от 22 декември 2020година, в сила от 23 декември 2021година/, се поддържа искане за отмяна на атакуваното наказателно постановление като незаконосъобразно. Развити са изключително 3 подробни и разнопосочни съображения, в т.ч. обосноваващи липса на компетентност от страна на КЗЛД и длъжностните лица при последната да налагат “имуществени санкции“ на публичен орган, още липса на правосубектност на санкционирания орган, неспазени изисквания, произтичащи от приложимата разпоредба на чл.57,ал.1 ЗАНН при оформяне съдържанието на атакуваното наказателно постановление, необоснованост при налагането на “имуществените санкции“, изначална липса на яснота в рамките на административнонаказателното обвинение, както подробно изложени съображения за липса на осъществено съставомерно деяние по всеки един от четирите пункта, по които е била ангажирана административнонаказателната отговорност на АВ. Отправено е и изрично искане за присъждане на направените от жалбоподателя и при благоприятен за последния изход на производството, деловодни разноски.

Защитникът на жалбоподателя - адвокат Димитър Калдамуков, САК, легитимиран с пълномощно, приложено в заверено ксерокопие като лист 6061 от делото, а в оригинален екземпляр като лист 111-112 от делото, в съдебно заседание поддържа искането за отмяна на атакуваното наказателно постановление, позовавайки се на съображенията, подробно развити в жалбата, както на материалите от доказателствената съвкупност, въз основа на които изразява становище за липса на осъществен състав на административно нарушение в случая. Поддържа искането за присъждане на направените от жалбоподателя деловодни разноски и при благоприятен за същия изход на делото, съобразно приложени “списък на разноските“ /лист 195 от делото/ и доказателства за реалното плащане на същите, конкретно договор от 15 декември 2021година за предоставяне на правна помощ и процесуално представителство /лист 196-197 от делото/, фактура от 14 декември 2021година /лист 198 от делото/ и извлечение от банкова сметка /лист 199 от делото/.

Пред съда санкционираната Агенция по вписванията, в процесуалното качество на жалбоподател и при редовна процедура по призоваване, не се представлява от изпълнителен директор.

Представителят на въззиваемата страна по пълномощно, в съдебно заседание пледира за потвърждаване на атакуваното наказателно постановление като законосъобразно и правилно, издадено в съответствие с 4 приложимите и относими материалноправни и процесуалноправни разпоредби, от компетентен орган, при безспорна и убедителна установеност на констатираните нарушения, за всяко от които и при спазване на принципа, установен в разпоредбата на чл.18 ЗАНН, коректно е била ангажирана административнонаказателната отговорност на санкционираното лице. Излага подробни съображения, както и оборва доводите от защитната теза на жалбоподателя, в депозирано в допълнение “писмено становище” /лист 200208 от делото/. Отправя искане за присъждане в полза на КЗЛД на юрисконсултско възнаграждение и при благоприятен за въззиваемата страна изход на делото, но в същото време и формулира, конкретно в депозираното “писмено становище“, възражение за прекомерност на претендираното от жалбоподателя адвокатско възнаграждение, каквото и при основание да бъде присъдено, счита, че следва да бъде до размера на предвиденото минимално, съобразно Наредба №1 от 09 юли 2004година за минималните размери на адвокатските възнаграждения /Наредба №1/2004г./, приета с решение на Висш адвокатски съвет, обнародвана ДВ бр.64 от 23 юли 2004година, формирайки направените от жалбоподателя деловодни разноски и в случай, че делото се реши в полза на последния.

Надлежно уведомена за съдебното производство, по аргумент от разпоредбата на чл.87,ал.1 ЗЗЛД вр. чл.62 ЗАНН, Софийска районна прокуратура /С./ не се възползва от изрично разяснената възможност “прокурор да участва в производството пред съда, ако намери това за необходимо”.

Софийски районен съд /СРС/, като взе предвид доводите, развити в жалбата, с която е сезиран, съобрази становището, изразено в хода на съдебното производство от защитника по пълномощно на жалбоподателя, както от представляващия по пълномощно въззиваемата страна, обсъди събраните доказателства и наличните по делото материали, преценени поотделно и в тяхната съвкупност, но и като е задължен да извърши цялостна служебна проверка касателно законосъобразността и правилността на атакуваното наказателно постановление, приема за безспорно установено от фактическа страна следното:

От страна на Сметната палата на Република България бил извършен одит на АВ, БУЛСТАТ 131282355, с тематична насоченост “Ефективност на 5 организацията и контрола на дейностите на водене и съхраняване на поддържаните от Агенция по вписванията регистри“ и обхват на одита периода 01 януари 2017година - 30 декември 2019година. След приемането на Одитния доклад, с решение №259 на Сметната палата от 05 август 2021година, същият бил предоставен на КЗЛД, където постъпил с придружително писмо и приет с вх.№ПНМД-01-62#2 от 16 август 2021година.

На свое редовно заседание, проведено на 17 август 2021година, КЗЛД приела, че в случая се явявала сезирана от Сметната палата, във връзка с направени в Одитния доклад констатации, касаещи защита на личните данни и приела решение за извършване на проверка на АВ, каквато проверка и била назначена с нарочна заповед №РД-15-309 от 24 август 2021година на председателя на КЗЛД. Проверката била реализирана в рамките на периода 03 септември 2021година - 12 октомври 2021година, а в осъществяването й, като част от проверяващия екип, участие имала свидетел М. М.

В резултат от проверката били приети предпоставки за образуване на административнонаказателно производство срещу АВ, към каквото се пристъпило със съставянето от свидетел М. на 11 ноември 2021година на акт за установяване на четири административни нарушения, посочени както следва - АВ не е предприела до месец юни 2020година - 24месеца след като е започнало прилагането на Регламент /ЕС/ 2016/679 на 25 май 2018година, своевременни и ефективни действия за въвеждане на подходящи технически и организационни мерки при обработването на личните данни, съобразени с естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, които мерки да включват прилагане на подходящи политики за защита на данните, с които да отговори на рисковете и проблемите и да включват подхода и действията за постигане на целите и изискванията на Регламент /ЕС/ 2016/679 - административно нарушение по чл.5,б“е“ вр. чл.24,§1 и §2 Регламент /ЕС/ 2016/679; АВ не е отчела рисковете с различна вероятност и тежест за правата и свободите на физическите лица, във връзка с естеството, обхвата, контекста и целите на обработваните лични данни, не е извършила анализ и оценка на риска, съобразно уязвимостите на своите системи и възможните атаки, насочени срещу тези уязвимости, не е осигурила адекватно и целесъобразно управление на рисковете за правата и свободите на 6 физическите лица, произтичащи от обработването на личните им данни, както и не е извършила оценка на въздействието по отношение правата и свободите на физическите лица, независимо от законовото си задължение, съгласно т.6 от Списък на КЗЛД и публикуван на сайта на последната, за задължително извършване на оценка на въздействието от страна на администраторите при редовно и систематично обработване, при което предоставянето на информацията по чл.19 Регламент /ЕС/ 2016/679 от администратора на субекта на данни е невъзможно или изисква несъразмерно големи усилия административно нарушение по чл.35 Регламент /ЕС/ 2016/679; АВ не е предприела своевременни и ефективни действия за защита на данните на етапа на проектирането и по подразбиране на своите системи, които следва да са разработени, с оглед на ефективното прилагане на принципите за защита на данните и интегриране на необходимите гаранции в процеса на обработване, за да се спазят изискванията на Регламент /ЕС/ 2016/679 и да се осигури защита на правата на субектите на данни, в резултат на което и в нарушение на чл.2,ал.2 ЗТРРЮЛНЦ, АВ е допуснала предоставянето на достъп на неограничен кръг лица до личните данни на публикуваните документи по партидите на търговци и юридически лица с нестопанска цел в ТРРЮЛНЦ, въз основа на които са били правени вписванията, обявяванията и заличаванията, в които документи се съдържат незаличени лични данни на физически лица - административно нарушение по чл.5 и чл.25 Регламент /ЕС/ 2016/679 и АВ не е приложила ефективни технически и организационни мерки за защита на личните данни и за гарантиране спазването принципите и изискванията на Регламент /ЕС/ 2016/679 и конфигуриране на системите си по подразбиране, в резултат от което е допуснала ЕГН да бъде единствен идентификатор при предоставянето на отдалечен достъп до услуги по електронен път, в разрез с решение от 21 март 2018година на КЗЛД, публикувано на сайта на институцията на 27 април 2018година, задължително за всички администратори на лични данни в Република България, както дадени указания на всички администратори на лични данни да предприемат необходимите технически и организационни мерки, така, че ЕГН да не е единствен идентификатор, позволяващ отдалечен достъп до услуги, особено, когато те включват лични данни на физически лица, транспонирано в чл.25ж ЗЗЛД - административно нарушение по чл.25ж,ал.2 ЗЗЛД и чл.25 Регламент /ЕС/ 2016/679. Така съставен, актът бил предявен, подписан и препис от него 7 бил връчен на представляващ по пълномощно АВ, която в случая и в качеството на лице, срещу което има образувано административнонаказателно производство, в приложимия в случая срок по чл.87,ал.1 ЗЗЛД вр. чл.44,ал.1 ЗАНН, се възползвала от правото на писмени възражения по акта. Последните обаче не били приети за основателни, ето защо административнонаказателното производство се развило, като въз основа на акта последвало издаването на 09 декември 2021година на атакуваното наказателно постановление №005 от председателя на КЗЛД, с което била ангажирана, включително при спазване на принципното правило по чл.18 ЗАНН, административнонаказателната отговорност на АВ, в качеството на администратор на лични данни, с налагането на четири “имуществени санкции“ отделно - в размер 70 000лв., в размер 50 000лв., в размер 100 000лв. и в размер 30 000лв., за нарушенията, описани от фактическа и от правна страна по идентичен начин в обстоятелствената част на постановлението и в акта за тяхното установяване.