Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на Комисията за защита на личните данни (КЗЛД), чрез процесуален представител, срещу решение № 13833 от 05.08.2024 г., постановено по адм. д. № 919/2024 г. по описа на Административен съд – София-град (АССГ), с което е отменено решение № ПАИКД-13-33/2023 г. от 08.01.2024 г. на КЗЛД, с което на основание чл. 58, § 2, буква „г“ от Регламент (ЕС) 2016/679 за нарушение на § 1, буква „е“ във връзка с чл. 32, § 1, буква „б“ и чл. 5, § 2 във връзка с чл. 24, § 1 и § 2 от Регламент (ЕС) 2016/679 се издава разпореждане на „Ай енд Джи Иншурънс Брокерс“ ЕООД в качеството на администратор на лични данни да извърши анализ риска, въз основа който да определи подходящи технически и организационни мерки за защита на личните данни и да приеме вътрешен писмен документ(политика/правила/процедура), който да регламентира обработването на лични данни чрез информационната система WEBBROKER и на основание чл. 58, § 2, буква „и“ от Регламент (ЕС) 2016/679 е наложено административно наказание - имуществена санкция в размер на 50 000 лева и КЗЛД е осъдена да заплати разноски.

Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон и необосновано – отменително основаниe по чл. 209, т. 3 АПК. Твърди, че съдът не е отчел същественото обстоятелство, че в експертизата е отразена информационната защита на администратора, реализирана след констатирания пробив в сигурността на данните. Счита, че съдът не е изложил мотиви по отношение на констатираното нарушение от КЗЛД на чл. 25 и чл. 28, § 1 от Регламент (ЕС) 2016/679. Излага съображения в подкрепа на доводите си, че съдът не е взел предвид, че администраторът не е разписал и приел вътрешен документ, който да регламентира хоризонталните и вертикални правила и права за работа с информационната система на Webbrocher, основани на принципите за обработване на личните данни, съобразно чл. 5 от Регламент (ЕС) 2016/679. Иска обжалваното решение да бъде отменено и да бъде оставен в сила административният акт. Претендира разноски, като в условията на евентуалност прави възражение за прекомерност на адвокатския хонорар на процесуалния представител на ответника.

Ответникът - „Ай енд Джи Иншурънс Брокерс“ ЕООД, чрез процесуален представител, оспорва касационната жалба по съображения, изложени в писмен отговор. Иска обжалваното решение да бъде оставено в сила. Претендира разноски.

Представителят на Върховната касационна прокуратура дава мотивирано заключение за основателност на касационната жалба.

Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт.

Разгледана по същество касационната жалба е основателна по следните съображения:

Предмет на съдебен контрол за законосъобразност пред първоинстанционния съд е решение № ПАИКД-13-33/2023 г. от 08.01.2024 г. на Комисията за защита на личните данни, с което са констатирани нарушения на сигурността на личните данни от страна на „Ай енд Джи Иншурънс Брокерс“ ЕООД и определя административно наказание – имуществена санкция на стойност 50 000 лв. в изпълнение на целите на чл. 83, § 4, б. „а“ за нарушение на чл. 24, § 1 и § 2, чл. 25, § 1, чл. 28, § 1, чл. 32, § 1, б. „б“ от Регламент (ЕС) 2016/679 и чл. 8, § 5, буква „а“ за нарушение на чл. 5, § 1, б. „е“ и § 2 от Регламент (ЕС) 2016/679.

Първоинстанционният съд е установил от фактическа страна, че на 19 и 20.08.2023 г. „Ай енд Джи Иншурънс Брокерс“ ЕООД е получило три писма по електронната поща от злонамерени трети лица, като в две от тях са били приложени три снимки от меню „Картотеки“ на информационната система, с която същото борави, и с твърдения, че тези лица притежават общо 15GB данни, файлове и справки на дружеството. Дружество съгласно задълженията му по Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (ОРЗД) и в срока по чл. 33, ал. 1 от същия е подал уведомление до КЗЛД за нарушение сигурността на личните данни по чл. 33 от ОРЗД с вх. № ПАИКД-13-33/22.08.2023 г.

Установено е, че е извършена вътрешна проверка, чийто резултати са обективирани в доклад с дата 22.08.2023 г., според който няма външен пробив в информационната система на дружеството, няма никакви изтеглени данни от сървъра съхраняващ същите, тъй като достъпът до същия е невъзможен през публично достъпна интернет връзка, а само чрез административен достъп до него. В доклада са описани какви мерки са предприети след получаване на заплашителните имейли и изброяване на планираните бъдещи мерки с цел повишаване на сигурността.

АССГ е установил, че КЗЛД след извършен анализ на риска, с решение от 20.09.2023 г., е възложила извършване на проверка по документи на дружеството. „Ай енд Джи Иншурънс Брокерс“ ЕООД е предоставило допълнителни документи, както и доклад от 06.10.2023 г., изготвен от М. М. и И. Д., в който подробно се анализират направените снимки от меню „Картотеки“, като същите стигат до заключението, че снимките са направени от трето лице с достъп до системата от вида „супер-потребител“, който не притежава нужните права за достъп до сървъра съдържащ базата данни, за разлика от администраторския акаунт, който притежава повече такива. Според доклада единственият, който може да установи връзка със сървъра съдържащ базата данни, която в злонамерените имейли се твърди да е компрометирана, е И. Д., включително и чрез неговия point to point VPN акаунт, но според представената информация, няма данни подобен достъп да е бил осъществен от него. В доклада от 06.10.2023 г. се съдържа и извадка на потребители, които са влизали в информационната система между 09.01.2023 г. и 31.07.2023 г., като отново се посочва, че няма нерегламентиран достъп до сървъра с базата данни, която в злонамерените имейли от 19 и 20.08.2023 г. се твърди да е компрометирана.

С писмо вх. № ПАИКД-13-33# 10/18.2023 г. дружеството е предоставило на КЗЛД попълнен „Въпросник за извършване на проверки при осъществяване на надзорната дейност на КЗЛД“, заедно с приложени към него документи, вкл. „Описание на правата на достъп на служителите/администраторите до системата с приложение към него в табличен вид – права за достъп за всички служители“, „Атестационна карта относно съответните корпоративни стандарти и изисквания на ОРЗД“, „Описание на техническите характеристики и мерки за защита на личните данни при ползване на информационната система“, Анализ на риска за правата и свободите на физическите лица, във връзка с обработването на техните данни във връзка с получената заплаха на 19.08.2023 г., протоколи от обучението относно практическо прилагане на ОРЗД на служителите на „Ай енд Джи Иншурънс Брокерс“ ЕООД през 2018 г., копия на подписани присъствени списъци от служителите, преминали обучение по защита на личните данни, протокол за проведено продължаващо обучение през 2019 г., 2020 г., 2021 г. и 2022 г. с копия на подписани присъствени списъци на служителите, преминали обучение по защита на личните данни и Инструктаж за приложимите при дружеството вътрешни правила за мерките за защита на личните данни, съгласно Регламент 2016/679.

С решение № ПАИКД-13-33/2023 г. от 08.01.2024 г. на КЗЛД са констатирани нарушения на сигурността на личните данни от страна на „Ай енд Джи Иншурънс Брокерс“ ЕООД и е определено административно наказание – имуществена санкция на стойност 50 000 лв. в изпълнение на целите на чл. 83, § 4, б. „а“ за нарушение на чл. 24, § 1 и § 2, чл. 25, § 1, чл. 28, § 1, чл. 32, § 1, б. „б“ от Регламент (ЕС) 2016/679 и чл. 8, § 5, буква „а“ за нарушение на чл. 5, § 1, б. „е“ и § 2 от Регламент (ЕС) 2016/679.

В рамките на съдебното дирене съдът е изслушал и приел съдебна компютърно-техническа експертиза (СКТЕ). От заключението на вещото лице Хранов е установено, че снимките посочени в злонамерените имейли на 19 и 20.08.2023 г. са направени от работната станция на лице с достъп до системата на ниво „супер-потребител“, което не може да сваля лични данни, съхранявани в сървъра на системата. Според заключението, външен достъп до сървъра е невъзможен и следователно няма пробив в системата на дружеството. Посочено е, че функционалността на системата на дружеството е организирана така, че данните за клиенти, данните за полици, за плащане се записват в различни структури с цел сигурност. В заключение според вещото лице, въведените технически и организационни мерки в системата на дружеството отговарят на изискванията на пазара от гледна точка на информационната сигурност, а използването на „Облачна“ среда, гарантира на друго ниво надеждността, съхранението на данните и достъпването на системата.

Въз основа на така установените факти съдът от правна страна е приел, че не е налице незаконосъобразно бездействие на „Ай енд Джи Иншурънс Брокерс“ ЕООД, намиращо израз в неприлагане на подходящи технически и организационни мерки, вкл. и на етап проектиране на информационно-операционната система WEBBBROKER, целящи предотвратяване настъпването на нарушението. Съдът е достигнал до извод, че изтичането на част от данните от операционната система на дружеството е вследствие на недобросъвестни и злонамерени действия от страна на трети лица, при които с оглед липсата на доказателства действително да са изтекли данните в посочените от тези лица размери, както и това, че създадената и приложената от „Ай енд Джи Иншурънс Брокерс“ ЕООД операционна система съответства и напълно отговаря на съвременните технологични изисквания за запазване и съхраняване на информацията, включително и от злонамерени действия на трети лица, изключва извод, че са налице основанията за ангажиране на административно-наказателна отговорност на дружеството като администратор на лични данни, на основание чл. 83, § 4, б. „а“ за нарушение на чл. 24, § 1 и § 2, чл. 25, § 1, чл. 28, § 1, чл. 32, § 1, б. „б“ от Регламент (ЕС) 2016/679 и чл. 8, § 5, буква „а“ за нарушение на чл. 5, § 1, б. „е“ и § 2 от Регламент (ЕС) 2016/679.

Решението е неправилно.

Първоинстанционният съд е събрал относимите към спора доказателства, въз основа на които е установил фактическата обстановка по делото, но при правилно установени факти е достигнал до неправилни правни изводи относно законосъобразността на оспореното решение на КЗЛД. В нарушение на материалния закон съдът е приел, че не е налице незаконосъобразно бездействие на администратора на лични данни, като е обосновал този извод преимуществено с техническите характеристики на информационната система Webbroker, липсата на доказателства за изтегляне на цялата база данни и обстоятелството, че инцидентът е свързан с действия на трети лица.

Основателни са изложените в касационната жалба доводи, че при постановяване на съдебния акт не са обсъдени в необходимата пълнота установените от КЗЛД обстоятелства относно организацията на обработването на личните данни, наличието на подходящи технически и организационни мерки към момента на инцидента и изпълнението на задължението на администратора да може да докаже съответствието на обработването с изискванията на Регламент (ЕС) 2016/679.

Съгласно чл. 5, § 1, б. „е“ от Регламент (ЕС) 2016/679 личните данни следва да се обработват по начин, който гарантира подходящо ниво на сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, посредством прилагането на подходящи технически или организационни мерки. По силата на чл. 5, § 2 от регламента администраторът носи отговорност за спазването на принципите по § 1 и трябва да е в състояние да докаже това спазване.

Съгласно чл. 24, § 1 от регламента администраторът, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. Тези мерки следва да бъдат преразглеждани и актуализирани при необходимост. Съгласно чл. 24, § 2 от регламента, когато това е пропорционално на дейностите по обработване, мерките включват прилагането от администратора на подходящи политики за защита на данните.

В чл. 32, § 1 от Регламент (ЕС) 2016/679 е предвидено задължение за администратора и обработващия лични данни да приложат подходящи технически и организационни мерки за осигуряване на съобразено с риска ниво на сигурност, като се отчетат достиженията на техническия прогрес, разходите за прилагане, естеството, обхватът, контекстът и целите на обработването, както и рисковете за правата и свободите на физическите лица. Следователно преценката за изпълнението на тези задължения изисква цялостен анализ на организацията на обработването и на действително приложените мерки спрямо конкретните рискове, а не единствено установяване на наличието на определени технически ограничения в информационната система.

В случая от събраните по делото доказателства се установява, че на 19 и 20.08.2023 г. „Ай енд Джи Иншурънс Брокерс“ ЕООД е получило електронни съобщения от трети лица, съдържащи твърдения за притежаване на значителен обем данни, файлове и справки на дружеството, както и екранни снимки от меню „Картотеки“ на информационната система Webbroker. Дружеството е уведомило КЗЛД за инцидента и е извършило вътрешни проверки, резултатите от които са отразени в доклади от 22.08.2023 г. и 06.10.2023 г. В тях се поддържа, че не е осъществен външен достъп до сървъра с базата данни и че установените екранни снимки не доказват изтегляне на цялата база данни. Посочените обстоятелства са относими към установяването на механизма и обхвата на инцидента, но не са достатъчни да обосноват извод, че към момента на настъпването му администраторът е изпълнил всички произтичащи от регламента задължения. Следва да се разграничават въпросът дали е доказано изтегляне на целия обем данни, посочен от изпращачите на електронните съобщения, от въпроса дали организацията на обработването, въведените правила и приложените технически и организационни мерки са били подходящи за гарантиране на сигурността на обработваните лични данни.

Неправилен е изводът на първоинстанционния съд, че липсата на доказателства за изтегляне на цялата база данни и за осъществен достъп до сървъра от лице с административни права изключва наличието на нарушение на задълженията на администратора по Регламент (ЕС) 2016/679. Обстоятелството, че не е установено изтегляне на данни в посочения в изпратените до дружеството електронни съобщения обем, не е достатъчно, за да се приеме, че администраторът е изпълнил задълженията си за осигуряване на подходящо ниво на сигурност на обработването. В случая правно релевантна е преценката дали към момента на настъпване на инцидента дружеството е прилагало ефективни технически и организационни мерки, съобразени с риска за правата и свободите на субектите на данни, както и дали е изпълнило задълженията си за защита на данните.

Според настоящата инстанция правилно КЗЛД е приела, че представените от дружеството доказателства за предприети действия след установяване на инцидента не установяват изпълнение на задълженията по чл. 24, § 1 и § 2, чл. 25, § 1 и чл. 32, § 1 от Регламент (ЕС) 2016/679 към момента на настъпването му. Задължението на администратора не се изчерпва с предприемането на действия след установяване на инцидент, а включва предварително изграждане и поддържане на организация за сигурност, съобразена с конкретните рискове при обработването. От събраните по делото доказателства се установява, че дружеството е представило описание на правата за достъп до информационната система, описание на техническите характеристики и мерките за защита на личните данни, както и документи относно проведените обучения на служителите. Тези доказателства обаче не установяват наличието на приет вътрешен писмен документ, който да регламентира обработването на лични данни чрез системата Webbroker и да определя приложимите правила за работа с нея в съответствие с принципите по чл. 5 от Регламент (ЕС) 2016/679. Самото техническо разпределение на данните в отделни структури и ограничаването на потребителските права за достъп не освобождават администратора от задължението да установи ясни правила за обработване на данните и да гарантира тяхното последователно прилагане. Ето защо правилно КЗЛД е приела, че представената документация не е достатъчна да докаже изпълнението на задълженията по чл. 24, § 2 и чл. 25, § 1 от регламента. При липсата на доказателства за надлежно регламентиране на обработването чрез системата и за въвеждането на подходящи мерки към релевантния момент изводът на първоинстанционния съд за липса на нарушение е неправилен.

С оглед изложеното настоящият съдебен състав намира, че първоинстанционният съд не е извършил необходимата цялостна преценка на събраните доказателства в контекста на задълженията на администратора по Регламент (ЕС) 2016/679. Отделно от това, при преценката на нарушението по чл. 28, § 1 от Регламент (ЕС) 2016/679 следва да се изхожда от установените фактически констатации и конкретното съдържание на административния акт, доколкото тази разпоредба урежда задължението на администратора да използва само обработващи лични данни, които предоставят достатъчни гаранции за прилагането на подходящи технически и организационни мерки. Самото наличие на информационна система или използването на външна техническа инфраструктура не освобождава администратора от това задължение. Необходимо е да е установено, че при възлагане на обработването са осигурени и проверени съответните гаранции, включително по отношение на сигурността на обработваните данни.

По отношение на определения размер на имуществената санкция настоящият съдебен състав намира, че същият е съобразен с критериите за индивидуализация, установени в чл. 83, § 2 от Регламент (ЕС) 2016/679. При определянето на размера на санкцията административният орган следва да отчете естеството, тежестта и продължителността на нарушението, неговия характер и последиците за субектите на данни, както и степента на отговорност на администратора с оглед предприетите от него технически и организационни мерки. В конкретния случай следва да се съобрази, че нарушението засяга задължения, които имат основополагащо значение за гарантиране сигурността на обработването и защитата на личните данни. Неизпълнението на задълженията за въвеждане и поддържане на подходящи технически и организационни мерки, както и за осигуряване на надлежна организация на обработването, създава риск за правата и свободите на физическите лица, чиито лични данни се обработват чрез информационната система на дружеството. При съобразяване на характера на установените нарушения, значението на засегнатите задължения за защитата на личните данни, предприетите от дружеството последващи действия и необходимостта от постигане на целите на административното наказание, определената имуществена санкция в размер на 50 000 лв. е съразмерна спрямо установените нарушения и не надхвърля необходимото за постигане на предвидените в регламента цели.

Като е достигнал до извод, че решението на КЗЛД е незаконосъобразно, съдът е постановил неправилно решение, което следва да се отмени, а вместо него да се постанови ново, с което се отхвърли жалбата на Ай енд Джи Иншурънс Брокерс“ ЕООД.

Предвид изхода на спора следва да се уважи претенцията на касационния жалбоподател за присъждане на разноски, представляващи юрисконсултско възнаграждение, което съдът определя в размер на 102, 26 евро за всяка инстанция, или общо 204,52 евро на основание чл. 78, ал. 8 ГПК, във вр. с чл. 37, ал. 1 от Закона за правната помощ и чл. 24 от Наредба за заплащането на правната помощ и сума в размер на 204,52 евро за съдебно-компютърна експертиза.

По изложените съображения и на основание чл. 221, ал. 2, предл. второ АПК, Върховният административен съд, пето отделение

РЕШИ:

ОТМЕНЯ решение № 13833 от 05.08.2024 г., постановено по адм. дело № 919/2024 г. по описа на Административен съд – София-град и вместо това ПОСТАНОВЯВА:

ОТХВЪРЛЯ жалбата на „Ай енд Джи Иншурънс Брокерс“ ЕООД срещу решение № ПАИКД-13-33/2023 г. от 08.01.2024 г. на Комисията за защита на личните данни, с което на основание чл. 58, § 2, буква „г“ от Регламент (ЕС) 2016/679 за нарушение на § 1, буква „е“ във връзка с чл. 32, § 1, буква „б“ и чл. 5, § 2 във връзка с чл. 24, § 1 и § 2 от Регламент (ЕС) 2016/679 се издава разпореждане на дружеството в качеството на администратор на лични данни да извърши анализ риска, въз основа който да определи подходящи технически и организационни мерки за защита на личните данни и да приеме вътрешен писмен документ(политика/правила/процедура), който да регламентира обработването на лични данни чрез информационната система WEBBROKER и на основание чл. 58, § 2, буква „и“ от Регламент (ЕС) 2016/679 е наложено административно наказание - имуществена санкция в размер на 50 000 лева.

ОСЪЖДА „Ай енд Джи Иншурънс Брокерс“ ЕООД, ЕИК 121266165 да заплати на Комисията за защита на личните данни сумата в размер на 409,04 (четиристотин и девет и четири евроцента) евро, представляваща разноски за две съдебни инстанции.