Акт от 06.12.2023, Административен съд - Велико Търново

РЕШЕНИЕ

№ 311 гр. Велико Търново, 06.12.2023 г.

В ИМЕТО НА НАРОДА

Административен съд Велико Търново – Втори състав, в съдебно заседание на двадесети ноември две хиляди двадесет и трета година в състав:

ПРЕДСЕДАТЕЛ: ГЕОРГИ ЧЕМШИРОВ при участието на секретаря П. и. изслуша докл...аното от СЪДИЯ ЧЕМШИРОВ адм. д. № 439 по описа за 2023 година и за да се произнесе, взе предвид следното:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), вр. с чл. 38, ал. 8 и чл. 84, ал. 2 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на С.Х.С. ***, чрез .... К.А. от ВТАК, срещу Решение рег.№ППН-02-403/26.05.2023г. на Комисията за защита на личните данни, с която на основание чл. 58, § 2, буква „г" във връзка с чл. 57, § 1, буква „а“ от Регламент (ЕС) 2016/679 относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, е разпоредено на

С.Х.С., в качеството му на администратор на лични данни, да преустанови обработването на лични данни по чл. 9 от Регламент(ЕС) 2016/679 на лицето подполковник П.И., да съобрази операциите по обработване на данни с разпоредбите на чл. 17, параграф 1, б. в) във връзка с чл. 6 и чл. 9 от Регламент (ЕС) 2016/679 и да приложи подходящи технически и организационни мерки за защита на личните данни на физически лица от неправомерен достъп и разпространение, като унищожи същите и преустанови тяхното обработване.

Нарушителят е предупреден, че за неизпълнението на горното разпореждане на КЗЛД, в качеството й на надзорен орган, е скрепено със санкционната норма на чл. 83, § 5, буква „д" от Регламент (ЕС) 679/2016, за което се предвижда налагане на административно наказание - „имуществена санкция“ или „глоба“.

Предоставен е едноседмичен срок за изпълнението му, считано от датата на получаването му, за което следвало писмено да се уведоми КЗЛД и да се предоставят относими доказателства.

Жалбоподателят излага мотиви за незаконосъобразност на процесното решение, като постановено при съществено нарушение на административнопроизводствените правила и в противоречие с материалноправните разпоредби на закона. Оспореното решение намира за немотивирано. За нарушена счита нормата на чл. 34 от АПК доколкото не му била дадена възможност да се запознае с документите по преписката. Не бил уведомен и за проведеното заседание на КЗЛД като по този начин му била отнета възможността да присъства, с което бил лишен от ефективна защита. Намира, че противно на възприетото от административния орган, не притежава качеството на „администратор на лични данни“, нито на „обработващ лични данни“ по смисъла на чл.4. § 7 и §8 от Регламент (ЕС) 679/2016. Изтъква, че никога не е имал достъп до личните данни на подп. П.И., които да обработва в качеството си на администратор на лични данни, като му е вменена отговорност за действия на трети лица, допуснали неправомерното разпространение на личните данни на субекта на данни. Твърди, че копие от част от медицинска епикриза с данни за здравословното състояние на подп. А. от значение за годността му за военна служба намерил в пощенската си кутия и в изпълнение на гражданския си дълг подал сигнал до Министерството на отбраната, където последвала проверка, завършила с отстраняване на военнослужещия като негоден за военна служба. Отбелязва, че подхвърленото му копие от медицинската епикриза е единствено и същото не е размножавано от него. По тези съображения моли съда да отмени обжалваното решение на КЗЛД. В съдебно заседание, жалбоподателят лично и чрез упълномощения .... А., поддържат жалбата по изложените в същата съображения. Не се споделя становището на административния орган, че изпращането на получен документ, съдържащ лични данни определено лице,превръща жалбоподателя в администратор на лични данни, тъй като такова качеството се придобива по силата на закона.

Представя писмени бележки. Претендира за присъждане на разноски по производството като представя списък с разноски по чл. 80 от ГПК, вр. чл. 144 от АПК.

Ответникът по жалбата

– Комисията за защита на личните данни, не се явява и не се представлява в съдебно заседание. В представени писмени бележки заема становище за неоснователност на жалбата като излага подробни съображения за това. Моли за отхвърляне на жалбата. Навежда възражение за прекомерност на претендираното от насрещната страна ...окатско възнаграждение. Претендира разноски за юрисконсултско възнаграждение.

Съдът като взе предвид становищата на страните, основанията за издаването на оспорвания административен акт и представените по делото доказателства, приема за установено следното:

Предмет на обжалване е Решение рег.№ ППН-02-403/26.05.2023г. на КЗЛД, с която на основание чл. 58, § 2, буква „г" във връзка с чл. 57, § 1, буква „а“ от Регламент (ЕС) 2016/679 относно защитата лични данни е разпоредено на С.Х.С., в качеството му на администратор на лични данни, да преустанови обработването на лични данни по чл. 9 от Регламент(ЕС) 2016/679 на лицето подполковник П.И., да съобрази операциите по обработване на данни с разпоредбите на чл. 17, параграф 1, б. в) във връзка с чл. 6 и чл. 9 от Регламент (ЕС) 2016/679 и да приложи подходящи технически и организационни мерки за защита на личните данни на физически лица от неправомерен достъп и разпространение, като унищожи същите и преустанови тяхното обработване. Определен е едноседмичен срок, считано от датата на влизане в сила на решението, за изпълнение на разпореждането като администраторът на лични данни да уведоми КЗЛД и да представи съответните доказателства.

Производството пред КЗЛД е започнало по повод постъпил сигнал с вх. №ППН-02-403/05.08.2022г. от Инспектората на Министерството на отбраната относно за нарушаване на правата на подполковник П.И., в качеството му на субект на данни, от страна на длъжностни лица (обработващи лични данни или администратори на лични данни), чрез нерегламентирано разкриване и достъп до негова здравна информация, посочена в медицинска епикриза, издадена през 2020г. от „СБАЛ по кардиология“ ЕАД - гр. Плевен. Повод за подаването на сигнала до КЗЛД бил друг подаден сигнал с вх. №13-00-1328/24.06.2022г. от о.з капитан С.С. до министъра на отбраната, в който се съдържали твърдения именно за здравословното състояние на подполковник П.И., в т.ч. негови диагнози и данни от проведеното му лечение в „СБАЛ по кардиология“ ЕАД и цитиран неговият единен граждански номер. Към сигнала на С. било приложено копие на част от медицинска епикриза на подполковник А. от постъпването му в лечебното заведение в периода 11.05-13.05.2020г.

С писмо с изх. №ППН-02-403#1/11.08.2022г. до д-р в.Х. – изпълнителен директор на „СБАЛ по кардиология“ ЕАД е изискано становище относно фактите, изнесени в сигнала на Инспектората на Министерството на отбраната и дружеството е уведомено за насрочената проверка на място. Изпратени са още писма с изх. №ППН-02-403#2/11.08.2022г. до д-р Н.П.(общопрактикуващия лекар на подполковник П.И.); писмо с изх. №ППН-02-403#3/11.08.2022г. до о.з. капитан С.С., както и писмо с изх.

№ППН-02-403#4/11.08.2022г. до подполковник П.И., с които е изискано становище по изнесени факти в сигнала на Инспектората. В отговор са постъпили писмо с вх.№ППН-02-403#5/17.08.2022г. от подполковник П.И., писмо с вх. №ППН-02-403#6/17.08.2022г. от „СБАЛ по кардиология“ ЕАД, становище с вх.

№ППН-02-403#8/19.08.2022г. от страна на общопрактикуващия лекар д-р Н. .П., в които се излага становище във връзка с подадения сигнал относно разгласяването на лични данни на субект на данни без неговото знание и съгласие.

Издадена е Заповед №РД-15-302/22.08.2022г. на

Председателя на КЗЛД, с която е наредено да бъде извършена проверка на СБАЛ по кардиология" ЕАД за спазване на разпоредбите на Регламент(ЕС) 2016/679 и Закона за защита на личните данни относно обработването на лични данни на физически лица – пациенти при изпълнение на дейността на дружеството – лечебно заведение, и определен проверяващ екип. В изпълнение на тази заповед, на 26.08.2022г. е извършена проверка на място в сградата на „СБАЛ по кардиология" ЕАД, на която са присъствали системния администратор и длъжностно лице по защита на личните данни, които са оказали съдействие и възможност за събиране на доказателства от страна на проверяващия екип. Снети са екранни разпечатки от информационната система на „СБАЛ по кардиология“ ЕАД и са предоставени заверени копия на документи. За констатациите от проверката е съставен Констативен протокол от 26.08.2022г.

За резултата от проверката от проверяващия екип е изготвен Констативен акт №ППН-02-668/15.12.2022г., според който „СБАЛ по кардиология" ЕАД като администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 обработва данни на физически лица във връзка с предмета си на дейност. На основание чл.

37, § 1 от Регламент (ЕС) 2016/679 е определено Длъжностно лице по защита на данните и на основание чл. 24, § 2 от Регламент (ЕС) 2016/679 са утвърдени документи, политики, правила и инструкции, които уреждат условията и реда за обработване на лични данни, дейностите по обработка, предприетите технически и организационни мерки за защита на данните, правата на субектите на данни, както и упражняването на контрол при обработването на лични данни от администратора на лични данни. В констативния акт е отбелязано, че болничното заведение наред със законовите задължения да събира лични данни съгласно НРД 2020—2022г., поставянето на медицинска диагноза и съответно осигуряването на здравни грижи и лечение на лицето П.И., се е наложило и обработването на данните за здравословното му състояние. При проверката е установено, че за престоя на лицето П. А. в „СБАЛ по кардиология“ ЕАД за периода от 11.05.2022г. до 13.05.2020г. е издадена медицинска епикриза, предадена лично на пациента в деня на изписването му, като са му предадени още два екземпляра от нея, както и катетеризационен протокол, със задължение за предаване на личния му лекар на втория екземпляр от епикризата. Третият екземпляр е прикрепен към „История на заболяване" на пациента и се съхранява от „СБАЛ по кардиология" ЕАД, съгласно изискванията на НРД 2020 2022 г. Според отразеното в акта, съгласно извадката от болничната програма, за периода от 01.04.2020г. до 15.08.2022г. единствено д-р Ц.Ч., в качеството си на началник на неинвазивното кардиологично отделение на „СБАЛ по кардиология" ЕАД, е имала достъп до епикризата на подполковник П.И., издадена за периода от 11.05.2020г. - 13.05.2020г. С оглед събраните доказателства от проверяващият екип е обективиран извод за липса на установени нарушения на разпоредбите на Регламент (ЕС) 2016/679 и ЗЗЛД от страна на „СБАЛ по кардиология" ЕАД, при обработване на лични данни на физически лица - пациенти.

Въз основа на така събраните данни, с решение по Протокол №47 от 21.12.2022г. от открито заседание на КЗЛД, е взето решение да се издаде разпореждане по чл. 58, § 2, б.

"г" от Регламент (ЕС) 2016/679, с което да бъде разпоредено на С.Х.С., в качеството му на администратор на лични данни, да съобрази операциите по обработване на лични данни, съдържащи се в частта от епикризата, като унищожи същата и преустанови тяхното обработване със срок на изпълнение – едноседмичен от влизане в сила на решението и получаване на издаденото разпореждане. Решението е взето с единодушно с 3 гласа „за“.

В резултат на това е издадено

Решение рег.№ППН-02-403/26.05.2023г. на КЗЛД, с което е наложена мярка на основание чл. 58, § 2 буква "г" във вр. чл.57, § 1, буква „а“ от Регламент /ЕС/2016/679. Комисията е споделила изводите на проверяващия екип за липса на нарушения на разпоредбите на Регламент (ЕС) 2016/679 и ЗЗЛД от страна на „СБАЛ по кардиология" ЕАД при обработване на лични данни на физически лица - пациенти. Направен е извод, че о.з капитан С.С., явявайки се администратор на лични данни, незаконно е обработил личните данни на лицето подполковник П.И., с което е нарушили разпоредбите на чл. 9 от Регламент (ЕС) 2016/679. Решението е връчено на С.С. на 12.07.2023г., видно от приложената разписка в административната преписка. Последният е оспорил решението по съдебен ред с жалба до АСВТ, подадена на 18.07.2023г., видно от дадения входящ номер, въз основа на която е образувано настоящото дело.