Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).
Образувано е по касационна жалба на "Специализирани болници за рехабилитация - Национален комплекс" ЕАД, чрез процесуален представител адв. Кръстев, срещу решение № 9428 от 18.03.2025 г., постановено по адм. д. № 10828/2024 г. по описа на Административен съд – София-град (АССГ), с което е отхвърлена жалбата на дружеството против Решение № ППН-01-824/ 2021 от 02.08.2024 г., постановено от Комисията за защита на личните данни.
В касационната жалба се излагат съображения за неправилност на обжалвания съдебен акт поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационно основание по чл. 209, т. 3 АПК. Касационният жалбоподател счита, че съдът не е извършил цялостен анализ на събраните в хода на производството доказателства, което е довело до неправилна преценка на фактите и до неправилно приложение на материалния закон. Твърди, че данните на Д. Ш. са били обработвани на законово основание – чл. 27 и 28 от Закона за здравето (ЗЗ), тъй като същият е бил пациент на лечебното заведение за посочените в жалбата периоди. Подробни съображения в подкрепа на доводите си излага в касационната жалба. Иска обжалваното решение да бъде отменено и да бъде постановено решение по същество, с което да бъде отменен административния акт. Претендира разноски за две съдебни инстанции.
Ответникът - Комисия за защита на личните данни (КЗЛД, Комисията), чрез процесуален представител юрк. Асьова, оспорва касационната жалба по съображения, изложени в писмено становище и в съдебно заседание. Иска обжалваното решение да бъде оставено в сила. Претендира разноски.
Ответникът - Д. А. Ш., не изразява становище по касационната жалба.
Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба.
Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт.
Разгледана по същество касационната жалба е неоснователна по следните съображения:
Предмет на проверка за законосъобразност пред АССГ е Решение № ППН-01-824/ 2021 от 02.08.2024 г. на КЗЛД, с което жалбите на Д. А. Ш. срещу „Специализирана болница за рехабилитация – Национален комплекс“ ЕАД са приети за основателни, като във връзка с това и на основание чл. 58, § 2, б. „б“ за нарушение на чл. 6 от Регламент /ЕС/ 2016/679 е издадено официално предупреждение на администратора „Специализирана болница за рехабилитация – Национален комплекс“ ЕАД.
АССГ е приел от фактическа страна, че Д. А. Ш. е подал жалба до КЗЛД с твърдения, че без негово съгласие е приет по програма НОИ в болница "Специализирани болници за рехабилитация - Национален комплекс" ЕАД - филиал Баня, Карлово, като за този прием е разбрал на 11.07.2021 г., след като от избирателната секция в Баня го уведомили, че трябва да гласува в санаториума. Предвид това същият е установил, че работодателят е използвал неговите лични данни, за да го включи в програма: „Профилактика, рехабилитация и отдих“, която се финансира от Националния осигурителен институт, като посочва, че по това време не е реализирал подобна рехабилитация, не е участвал в подобна програма. Посочено е, че със заповед Д-17-24/01.11.2021 г. е прекратен трудовият договор на служителя Д. А. Ш. със „СБР-НК” ЕАД, филиал Баня, Карлово, на основание чл. 328, ал. 1, т. 2 във връзка с чл. 326, ал. 2 КТ.
Установено е, че Ш. е ползвал платен годишен отпуск от 05.07.2021 г. до 13.07.2021 г. Със становище от НОИ peг. ППН-01-824#23(21)/12.04.2023 г., с което информират КЗЛД, че на Ш. е издадено удостоверение за профилактика и рехабилитация от ТП на НОИ – Пловдив за периода от 04.07.2021 г. до 13.07.2021 г., в нарушение на Наредба № 1 от 13.02.2007 г. за ползване и изплащане на паричните помощи за профилактика и рехабилитация (Наредбата), тъй като лицето не е представило необходимите документи лично.
Съдът е установил, че предвид изложените от жалбоподателя твърдения, че подписите, положени под Удостоверение № 4771/11. 10. 2019 г., протокол за извършена услуга по рехабилитация № 10-4738/22. 10. 2019 г., Удостоверение № 3044/04. 12. 2020 г. и протокол за извършване на услуга по профилактика и рехабилитация № 10-5225/15. 12. 2020 г. не са негови, КЗЛД е допуснала извършването на почеркова експертиза.
С протокол за извършена експертиза № 2023/ДОК-328 от 27.07.2023 г., изготвен от Националния институт по криминалистика, е дадено заключение, че подписът срещу печатен текст „Подпис на лицето" в копие от Удостоверение № 3044/04. 12. 2020 г., издадено от Териториално поделение Пловдив на Националния осигурителен институт, е копие на подпис, който не е положен от Д. А. Ш., както и че подписът срещу печатен текст „Ползвател: Д. А. Ш.“ в копие от протокол за извършени услуги по профилактика и рехабилитация 10-5225/15.12.2020 г. /Приложение № 4 към чл. 14, ал. 1/ между СБР - НК ЕАД и Д. А. Ш.. не е положен от Ш..
За да постанови обжалвания съдебен акт АССГ е приел, че оспореният административен акт е издаден от компетентен орган, в съответствие с предоставените му правомощия по чл. 38, ал. 2 ЗЗЛД, в законоустановената форма, при спазване на изискването на чл. 59, ал. 2, т. 4 АПК – административният акт да съдържа правните и фактически основания за издаването му, при спазване на административнопроизводствените правила, в съответствие с материалния закон и с неговата цел. Приел е, че не са предоставени доказателства от болницата, от които да може да се направи извод за наличие на правно основание за обработване на личните данни на Д. Ш. за участие в програма „Профилактика, рехабилитация и отдих“ и издаване на „ИЗ“, в което се съдържат личните му данни от 04.07.2021 г.
Първоинстанционният съд е посочил, че не може да се приеме с категоричност твърдението на оспорващото дружество, че Д. Ш. е бил на лечение по посочената програма и в тази връзка неговите лични данни са обработвани законосъобразно, в съответствие с чл. 27 от Закона за здравето и чл. 6, § 1, буква „в“ от Регламента, поради непредоставянето на всички описани в чл. 7, ал. 1 от Наредба № 1 от 13. 02. 2007 г. документи. Съдът е приел, че липсата на положен подпис от Д. Ш., в съвкупност с липсата на издадено направление за хоспитализация, води до извод, че не е налице съгласие за обработване на лични данни по смисъла на чл. 6, § 1, буква „а“ от Регламент /ЕС/ 2016/679 за подписване на историята на заболяването, съставен на 04.07.2021 г. При тези съображения АССГ е постановил обжалвания резултат.
Решението е валидно, допустимо и правилно.
Съдът е установил правилно фактическата обстановка, анализирал е точно и подробно описаните релевантни факти и е достигнал до обосновани правни изводи.
Противно на изложеното от касатора обжалваното решение е постановено при спазване на съдопроизводствените правила. АССГ е изпълнил задължението си по чл. 168 АПК като е извършил съдебен контрол на оспорения административен акт по критериите, посочени в чл.146 АПК и е установил релевантните за спора фактически обстоятелства, като съдът се е произнесъл с мотивиран съдебен акт по см. на чл.172а, ал.2 АПК. Решението на съда е постановено при разпределена тежест на доказване в процеса съобразно доводите и възраженията на страните, на които е дадена възможност да ангажират доказателства в подкрепа на представените становища.
Законосъобразно решаващият съд приема, че не са предоставени доказателства от болницата, от които да може да се направи извод за наличие на правно основание за обработване на личните данни на Ш. за участие в програма „Профилактика, рехабилитация и отдих“ и издаване на „ИЗ“, в което се съдържат личните му данни.
В чл. 6, § 1 от ОРЗД алтернативно са посочени условията, при които е допустимо обработването на лични данни на физически лица. Съгласно чл. 6, §1, б. “в“ ОРЗД обработването е законосъобразно, само ако и доколкото е необходимо за спазването на законово задължение, което се прилага спрямо администратора. В конкретния случай, както правилно е отбелязал първоинстанционният съд, не може да се приеме, че Д. Ш. е бил на лечение по програма „Профилактика, рехабилитация и отдих“, и в тази връзка неговите лични данни са обработвани законосъобразно, в съответствие с чл. 27 от Закона за здравето и чл. 6, § 1, буква „в“ от Регламента. Съгласно чл. 27, ал. 1 ЗЗ здравна информация са личните данни, свързани със здравословното състояние, физическото и психическото развитие на лицата, както и всяка друга информация, съдържаща се в медицинските рецепти, предписания, протоколи, удостоверения и в друга медицинска документация.
Според разпоредбата на чл. 28, ал. 1 ЗЗ здравна информация може да бъде предоставяна на трети лица, когато: „лечението на лицето продължава в друго лечебно заведение; съществува заплаха за здравето или живота на други лица: е необходима при идентификация на човешки труп или за установяване на причините за смъртта; е необходима за нуждите на държавния здравен контрол за предотвратяване на епидемии и разпространение на заразни заболявалия; е необходима за нуждите на медицинската експертиза, и общественото осигуряване; е необходима за нуждите на медицинската статистика или за медицински научни изследвания, след като данните, идентифициращи пациента, са заличени; е необходима за нуждите на Министерството на здравеопазването, Националния център по здравна информация; НЗОК, регионалните здравни инспекции и Националния статистически институт; е необходима за нуждите на застраховател, лицензиран по раздел 1 от приложение № 1 или. т. 2 или по т. 1 и 2 от раздел II, буква "А" на приложение № 1 към Кодекса за застраховането.
Обосновано първоинстанционният съд е приел, че за болницата е налице правно основание за обработване на данни в хипотезата на предоставяне на лични данни на трети лица при условията, разписани в разпоредбата на чл. 28, ал. 1 ЗЗ, но в случая не е налице нито една от хипотезите на чл. 28, ал. 1 ЗЗ, като липсата на положен подпис от лицето Д. Ш., в съвкупност с липсата на издадено направление за хоспитализация, води до извод, че не е налице съгласие за обработване на лични данни по смисъла на чл. 6, § 1, буква „а“ от Регламент /ЕС/ 2016/679 за подписване на историята на заболяването, съставен на 04.07.2021 г.
Неоснователно в касационната жалба се твърди, че съдът не е извършил цялостен анализ на събраните в хода на производството доказателства, което е довело до неправилна преценка на фактите и до неправилно приложение на материалния закон. Подробно изложените доводи на административния орган, че обработването на личните данни е извършено при неспазване на условията на чл. 6, § 1 от ОРЗД са верни и са споделени от решаващия съд, като в решението изрично е прието, дружество не е представило доказателства за наличието на приложими към разглеждания случай условия по смисъла на чл. 6, § 1 от Регламент /ЕС/ 2016/679, а именно: субектът на данни да е дал съгласие за обработване на личните му данни за една или повече конкретни цели: обработването да е необходимо за предприемането на стъпки по искане на субекта на данните преди сключване на договор: обработването да е необходимо за спазването на законово задължение, което се прилага спрямо администратора на лични данни.
Според чл. 4, § 1, т. 11 от ОРЗД съгласие на субекта на данните означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени, съобразно разпоредбата на чл. 7. § 1 от Регламента, и свързаното с тази разпоредба съображение 42.
Съгласно чл. 7, § 1 от Регламента, когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни, което в конкретния случай не е сторено по отношение на личните данни, съдържащи се в история на заболяването № 2595/ 197, в удостоверение № 3044/04.12.2020 г. и протокол за извършване на услуга по профилактика и рехабилитация № 10-5225/15.12.2020 г. Нещо повече, с протокол за извършена експертиза № 2023/ДОК-328 от 27.07.2023 г., изготвен от Националния институт по криминалистика, е дадено заключение, че подписът срещу печатен текст „Подпис на лицето" в копие от Удостоверение № 3044/04. 12. 2020 г., издадено от Териториално поделение Пловдив на Националния осигурителен институт, е копие на подпис, който не е положен от Д. А. Ш., както и че подписът срещу печатен текст „Ползвател: Д. А. Ш.“ в копие от протокол за извършени услуги по профилактика и рехабилитация 10-5225/15.12.2020 г. /Приложение № 4 към чл. 14, ал. 1/ между „СБР – НК“ ЕАД и Д. А. Ш., не е положен от Ш..
В този смисъл правилно съдът е приел, че осъществявайки правомощието си по чл. 58, § 2, б. „б“ от ОРЗД – отправяне на официално предупреждение до администратора на лични данни при наличие на осъществено нарушение, КЗЛД е постановила законосъобразен административен акт.
Касационните основания за необоснованост на решението са неоснователни. Съдът е обсъдил всички събрани по делото доказателства, правилно ги е анализирал и не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са логични, последователни и изградени върху правилен анализ на събраните доказателства.
Постановеното решение не страда от сочените в касационната жалба пороци и такива не са открити при извършената на основание чл. 218 АПК служебна проверка на съдебния акт, поради което като валидно, допустимо и правилно следва да бъде оставено в сила.
С оглед изхода на спора, претенцията на ответника по касация за присъждане на понесените пред настоящата инстанция разноски, следва да се уважи в размер на 102,26 евро, представляващи възнаграждение за юрисконсулт, определено по реда на чл. 78, ал. 8 ГПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ и чл. 144 АПК.
Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, пето отделение
РЕШИ:
ОСТАВЯ В СИЛА решение № 9428 от 18.03.2025 г., постановено по адм. д. № 10828/2024 г. по описа на Административен съд – София-град.
ОСЪЖДА "Специализирани болници за рехабилитация - Национален комплекс" ЕАД ЕИК 130344823 да заплати на Комисията за защита на личните данни сумата в размер на 102,26 евро (сто и две и двадесет и шест евроцента) евро, разноски за касационната инстанция.
Решението е окончателно.