Решение № 2353 от 04.03.2026 г. на ВАС по адм. д. № 10140/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Комисията за защита на личните данни (КЗЛД, Комисията), чрез процесуален представител, против решение № 26235/01.08.2025 г. по адм. д. № 3039/2025 г. по описа на Административен съд София - град (АССГ). Касационният жалбоподател обжалва решението като неправилно, постановено в противоречие с материалния закон и необосновано – отменителни основания по чл. 209, т. 3, предл. първо и трето АПК. Излага съображения, че неправилно първоинстанционният съд е приел, че липсва законова презумпция на наложените на администратора принудителни административни мерки (ПАМ), както и че всички ПАМ следва да са свързани с кибератаката. Твърди, че наложените ПАМ са вследствие на констатациите от извършената от надзорния орган цялостна проверка относно защитата на личните данни и целят да сведат до минимум риска от уязвимост в защитата на личните данни, както и да подобрят реакцията на администратора за своевременно установяване на пробиви в сигурността. Счита за неправилен извода на съда, че липсват конкретни предписания във връзка с установената по повод кибератаката уязвимост на системата, свързана с деактивирането на модул, който защитава от спам и зловреден софтуер, тъй като Комисията не може да даде конкретни предписания относно какви защити, системи, софтуери и техника да използва съответния администратор. Твърди, че въпреки предоставените от "Български пощи" ЕАД доказателства за предприемането и приложението на технически и организационни мерки за защита на личните данни, същите са били недостатъчни и неподходящи. Счита, че КЗЛД, в качеството си на надзорен орган обосновано и законосъобразно е наложила ПАМ в рамките на оперативната си самостоятелност по смисъла на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните). Иска обжалваното решение да се отмени, като се остави в сила административният акт. Претендира разноски. Ответникът - "Български пощи" ЕАД, чрез процесуален представител, оспорва касационната жалба по съображения, изложени в писмен отговор. Иска обжалваното решение да бъде оставено в сила. Претендира разноски. Представителят на Върховната касационна прокуратура дава заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: С обжалваното решение е отменено Решение № ПАИКД-13-20/22 от 06.10.2022 г. на Комисията за защита на личните данни, с което на основание чл. 58, пар. 2, б. "г" от Регламент 2016/679 за нарушение на чл. 32, пар.1, б. "б", "в" и "г" и пар. 2 вр. с чл. 5, пар.1, б."е" от Регламент 2016/679 въз основа на извършена проверка са приложени мерки за отстраняване на констатирани нарушения с цел предотвратяване на бъдещи нарушения, като в 16 точки е разпоредено извършването на конкретни задължения и са определени срокове за изпълнение. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 АПК, след отмяна на първоначално постановеното решение № 505/18.01.2024 г. по адм. дело № 9929/2022 г. на АССГ, с решение № 2633/14.03.2025 г. по адм.дело № 5991/2024 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с разпореждане № 13666 от 21.04.2025 г., постановено по адм. д. № 3039/2025 г., изрично е посочил, че в тежест на жалбоподателя „Български пощи“ ЕАД е да установи по делото, че естеството, обхватът и прилагането на приложените от него технически и организационни мерки за сигурност по чл. 32 от Регламент (ЕС) 2016/679 са подходящи с оглед рисковете, свързани с обработването на данните; както и да установи, че към издаването на решението на КЗЛД разпоредените с него мерки вече са изпълнени. При новото разглеждане на делото не са събрани нови доказателства. От събраните при първоначалното разглеждане на делото доказателства, съдът е приел за установено, че "Български пощи" ЕАД е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент 2016/679 и обработва данни на физически лица във връзка с предмета си на дейност. На 16.04.2022 г. е установена невъзможност за функциониране на софтуерните приложения поради криптирана голяма част от база данни в резултат на хакерска атака. В съответствие с разписани правила за поведение в "Инструкция за управление на инциденти", версия 02 от 2014 г., активиран "План за непрекъснатост на сигурността на информацията, версия 4/2018 г.", са предприети поредица от действия. Пробивът на сигурността е извършен посредством зловреден софтуер Mimikatz, платформа за кражба на пароли. Не могат да бъдат възстановени Интегрирана Автоматизирана система за Управление на Търговската дейност, Информационна система Електронен пенсионен картон, Система за автоматизиране на дейностите по предоставяне на пощенски услуги, отговарящи на пазарните потребности и електронна търговия с интегрирана Е-пакет", Eдинен софтуер за управление и контрол на пощенско-парични преводи, Унифициран софтуер за управление и отчитане на продажбите на стоки в Български пощи, Интегрирана система за работна заплата и управление на човешки ресурси Aladin, Интегрирана куриерска информационна система, поради криптиране на базата данни и създадените бекъпи. Засегнати са хиляди лица. В решението на КЗЛД са описани предприети мерки за ограничаване на вредните последици, мерки за възстановяване чрез създадената организация за изграждане на нова информационна инфраструктура на Български пощи върху платформа на държавен хибриден частен облак /ДХЧО/, изграждане на нова домейн и сървърна инфраструктура, обобщаване и възстановяване на информацията, на новите инсталирани сървърни конфигурации се инсталира последна версия на антивирусен софтуер Eset Nod 32, който принципно успявал да прихване и карантинира вируси, изградена е физическа свързаност между ДХЧО и съществуващата информационна инфраструктура на "Български пощи" ЕАД. Посочено е, че са предприети действия за изпълнение на оценката на обхвата на въздействие върху всички активи, успоредно с мерките за възстановяване, изпълнение на стартирани мерки за възстановяване на функционалността на ключовите информационни системи на Български пощи. Описани са подробно: 1. предприети от "Български пощи" ЕАД последващи действия и мерки във връзка с рискове за повторна хакерска атака, 2. мерки за повишаване на защитата на инфраструктурата и недопускане на инциденти от подобен характер, 3. обсъдена е организацията на информационната сигурност във водещия документ Регламент за управление на сигурността на информацията, версия 4/2018, отговорностите на съответните длъжностни лица, одобрената през 2020 г. Политика за защита на лични данни, Процедурата ОПУ 07 Вътрешен одит, Политиките за информационна сигурност, планове за действия в случай на аварии, природни бедствия и др. непредвидени обстоятелства. Направени са констатации относно непрекъсваемостта на функционирането на информационните системи и липсата на резервен център за данни поради липса на финансови средства. Посочени са конкретни действия, които трябва да се извършат за възстановяване на нормалното състояние на цялата система и на плана за непрекъснатост. Направени са констатации относно правилата за служителите, имащи отношение към процесите и дейностите по обработка на личните данни, във връзка с управлението на персоналната сигурност. Обсъдени са всички видове тестове на системата. В 16 точки КЗЛД е направила обобщения във връзка с констатациите като: 1. липсата на политики и процедури за формиране и поддръжка на журнални дневници /лог файлове/, 2. неспазени процедури и политики за архивиране /бекъп/ на информационните системи, като не се осъществява архивиране на бази данни във вид на дългосрочни архиви и такива на външен носител, поради което е невъзможно възстановяване на функционирането на информационните системи и база данни, 3. недостатъчен контрол за спазване на процедурата за формиране на потребителско име и парола на ниво администратор на информационните системи, 4. ненадграден стандарт ISO27001/2013 до ISO LEC 27701/ 2019 за проверка защитата на личните данни, 5. липса на извършена оценка на въздействието и идентифициран висок риск за всяка система, 6. липса на доказателства, че утвърдени от "Български пощи" ЕАД политики и процедури са приложени в цялост, 7. липса на последващ контрол след приключило обучение на служители по Регламент 2016/679 и невключени задължения за обработване на лични данни на физически лица при изпълнение на служебни задължения, 8. при констатирани при одит през 2021 г. рискове със значителни завишени стойности не са предприети бързи и адекватни мерки за защита на уязвимости, 9. нарушен е принцип на отчетност поради липса на записи за отделни събития и журнални дневници за привилегировани потребители, 10. Невнедрена Система за управление и анализ на събитията в областта на сигурността за осигуряване на анализ в реално време на сигнали за сигурност, генерирани в мрежовия хардуер и приложения, 11. Основната отговорност за информационните системи е само за Дирекция "ИКТ", но не се прилага защита от дирекция "Сигурност" и Звено "Защита на лични данни", 12. Не се осъществяват периодични консултации с длъжностно лице по защита на лични данни, 13. Няма доказателства висшият мениджмънт да е периодично ангажиран и запознат с проблемите на информационната сигурност, 14. Няма действия за обновяване на информационните системи и на СУБД към актуалните версии на Microsoft SOL 2019, защото някои от използваните приложения няма да работят на по-високи версии, 15. В сключени договори администратор - обработващ, липсват клаузи за конкретно задължение за предприемане на технически и организационни мерки при обработване на данните и не са разписани правила за контрол, 16. на доставчиците не са дефинирани правила и принципи за избор на доставчици, както и такива за оценки на рискове. От така констатираните обстоятелства КЗЛД е направила извод, че не са приложени подходящи технически и организационни мерки, в резултат на което е извършен нерегламентиран достъп до база данни, след което са били криптирани, а от нарушението на сигурността са засегнати приблизително 4 675 393 бр. записи, съдържащи лични данни на физически лица, 1 700 000 субекти на лични данни от ИАСТУД, от които са индивидуализирани 675 393 бр. физически лица. Нарушена е способността за гарантиране на постоянна поверителност, наличност, цялостност и устойчивост на системите и услугите за обработване, както и способността за своевременно възстановяване на наличността и достъпа до лични данни - нарушение на чл. 32, пар.1, б. "б", "в" и "г" и пар. 2 вр. с чл. 5, пар.1, б."е" от Регламент 2016/679. Обосновано е защо се предприемат принудителни административни мерки в рамките на оперативната самостоятелност на КЗЛД по чл. 58, пар. 2 /без тези по б."и"/ от Регламента с цел предотвратяване или преустановяване извършването на нарушение. В случая от "Български пощи" ЕАД се обработват голям обем от лични данни, но поради липсата на адекватни технически и организационни мерки за защита на лични данни администраторът на лични данни не е успял да изпълни задължението си по чл. 32, пар. 1, б. "б" от Регламента, като е допуснал загуба на наличността и устойчивостта на своите системи и услуги. Използват се компютърни конфигурации, за които не се поддържат по-нови версии на операционната система от Windows 7, който вече не се поддържа от съответния доставчик. Това означава, че поради липса на поддръжка на софтуера, не са отчетени нововъзникнали и новооткрити бъгове и заплахи за системите, които стандартно се отстраняват от самия производител и доставчик на софтуера. Предвид констатациите и в резултат на проверката, като най-целесъобразна мярка е избрана тази по чл. 58, пар. 2, б."г" от Регламента, т.е. даване на конкретни разпореждания на администратора, като му се указва и начина, по който следва да се отстранят констатираните нарушенията и да се предотвратят бъдещи такива нарушения. С Решение № ПАИКД-13-20/22 от 06.10.2022 г. на основание чл. 58, § 2, буква „г“, за нарушение на чл. 32, § 1, букви „б“, „в"' и „г“ и § 2, във връзка с чл. 5, § 1, буква „е“ от Регламент (ЕС) 2016/679, КЗЛД разпорежда на „Български пощи“ ЕАД да предприеме технически и организационни мерки, подробно описани в 16 точки и с посочени срокове за изпълнението им. От назначената и приета съдебно-компютърна експертиза по адм. д. № 9929/2022 г. по описа на АССГ, се установява, че причината за нерегламентирания достъп е деактивирането, по предписание на Microsoft, на важен модул, който защитава от спам и зловреден софтуер. Според съдебния експерт дадените разпореждания от КЗЛД не касаят извършването на технически действия, като тези по т. 1, 2, 4, 9, 11, 12, 13, 14 и 15 касаят на практика процесите по анализ и идентифициране на потенциални заплахи, администрирането на лични данни, каквито не са изтекли при кибератаката. Специално за т. 3 е посочено, че препоръчаните процедури съществуват и преди атаката. За т. 5 и т. 7 от решението на КЗЛД съдебният експерт посочва наличието изпълнение на предписанието, по т. 6 предвидени, но нереализирани политики за запис поради липса на финансови средства, а по т. 16 е установило замяна на софтуера в рамките на месец след кибератаката. Направен е извод, че всички разпореждания са изпълнени. За да постанови обжалваното решение АССГ е приел, че предписаните мерки по    т. 1, т. 2, т. 4, т. 9, т. 11, т. 12, т. 13, т. 14 и т. 15 от Решение № ПАИКД-13-20/22 от 06.10.2022 г. на Комисията, касаят процеси по анализ и идентифициране на потенциални заплахи (рискове), техническо изготвяне на критерии за сключване на договори с доставчици, сключване на такива, изготвяне на нови длъжностни характеристики на служителите на „Български пощи“ ЕАД и провеждане на контрол и обучение на служителите, т.е. касаят процеси по администрирането на лични данни от служители на жалбоподателя, неправомерно поведение на каквито не се установява в случая като причина за кибератаката, която е осъществена от трети лица. Първоинстанционният съд е достигнал до извод, че горните принудителни мерки са неподходящи в случая, тъй като с тях на практика административният орган се намесва в оперативната самостоятелност на администратора на лични данни да организира процеса по обработката им, без да излага съображения как вече въведените правила са станали причина или са допуснали осъщественото неправомерно обработване. Първоинстанционният съд е приел, че по отношение на предписанията по т. 3, т. 5, т. 6, т. 7 т. 8, т. 10 и т. 16 от Решение № ПАИКД-13-20/22 от 06.10.2022 г. на Комисията, същите не са свързани с възможност за предотвратяване на кибератаки от вида на осъществената, още повече, че според заключението на вещото лице, такива мерки са предприети преди издаването на оспореното решение, а някой от тях /т.3, т.6, т.7, т.8/ и преди  кибератаката. Решението е правилно. Съдът е събрал относимите към спора доказателства, въз основа на които правилно е установил фактите по делото. При правилно установени факти съдът е достигнал до законосъобразни правни изводи, към които настоящата инстанция препраща при условията на чл. 221, ал. 2, изр. второ АПК и не следва да ги преповтаря. Доводите, изложени от касационния жалбоподател относно твърдяната законосъобразност на административния акт, обжалван пред първоинстанционния съд, са неотносими към предмета на настоящото производство, поради това не следва да се обсъждат. Касационната инстанция проверява законосъобразността на съдебния акт на първоинстанционния съд и обсъждането на доводи, които не засягат пряко законосъобразността на съдебния акт, е извън предмета на касационната проверка. Съдът правилно е приложил материалния закон. Разпоредбите на чл. 24 и чл. 32 от ОРЗД задължават администратора на лични данни (какъвто се явява „Български пощи“ ЕАД) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента. Съгласно „принципа за отчетност“, регламентиран в чл. 5, §. 2 от ОРЗД, администраторът носи отговорност и следва да е в състояние във всеки момент да може да докаже спазване на принципите, закрепени в чл. 5, §. 1 от Регламента, при обработване личните данни на физически лица. В съображение 74 от Регламента е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В тежест на администратора на лични данни е да докаже, че е взел подходящите мерки за защита на личните данни, които обработва. Съгласно решение по дело С-340/21 г. Съдът на Европейския съюз членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32. Обосновано първоинстанционният съд е посочил, че извършеното нарушение по Общия регламент относно защитата на данните е предпоставка по чл. 22 ЗАНН във вр. с чл. 58, пар.2, б."г" от Регламента за налагане на принудителни административни мерки, но наложените от КЗЛД мерки са нецелесъобразни и в несъответствие с целта на закона. Предписаните мерки по т. 1, т. 2, т. 4, т. 9, т. 11, т. 12, т. 13, т. 14 и т. 15 от Решение № ПАИКД-13-20/22 от 06.10.2022 г. на Комисията са неподходящи, тъй като касаят процеси по администрирането на лични данни от служители на „Български пощи“ ЕАД, неправомерно поведение на каквито не е установено като причина за кибератаката, която е осъществена от трети лица. Обосновано съдът е достигнал до извод и че предписанията по т. 3, т. 5, т. 6, т. 7 т. 8, т. 10 и т. 16 от Решение № ПАИКД-13-20/22 от 06.10.2022 г. на Комисията не са свързани с възможност за предотвратяване на кибератаки от вида на осъществената, като от събраните по делото доказателства се установява предприемане на мерки от дружеството, преди издаването на решението на Комисията. Правилно първоинстанционният съд е достигнал до извод, че наложените ПАМ не са необходими и подходящи, доколкото макар и да са наложени по повод осъществената кибератака, не са били в състояние да предотвратят същата, още повече, че част от тях вече са били приложени от „Български пощи“ ЕАД преди нея, а всички други и преди издаването на оспореното решение. Различното им непосредствено предназначение – да предотвратят опасността от настъпването на неправомерни деяния или събития, да преустановят развитието им, ако то вече е започнало, и да възстановят вредните последици от правонарушенията, позволява систематизирането на ПАМ в три групи: превантивни, преустановителни и възстановителни. В конкретния случай наложените мерки са неподходящи за постигане на преследваната цел и непропорционални спрямо фактическата обстановка, поради което правилно АССГ е достигнал до извод, че същите не са били в състояние нито да предотвратят настъпването на кибератака, нито да преустановят нейното развитие, доколкото към момента на налагането им кибератаката вече е била осъществена, а установените уязвимости не са били адресирани чрез конкретни и целенасочени предписания. Не може да се приеме за основателно възражението, че КЗЛД, в качеството си на надзорен орган обосновано и законосъобразно е наложила ПАМ в рамките на оперативната си самостоятелност по смисъла на Регламент (ЕС) 2016/679. Оперативната самостоятелност не освобождава административния орган от задължението да мотивира конкретно и ясно необходимостта от всяка отделна мярка, както и да я съобрази с конкретно установените фактически обстоятелства. В случая липсват конкретни предписания, насочени към установената по повод на кибератаката уязвимост на системата, а именно деактивирането на модул за защита от спам и зловреден софтуер. Отсъствието на такива целенасочени указания обосновава извода за формално упражняване на надзорните правомощия, което противоречи на принципа на пропорционалност. Неоснователно е оплакването на касатора за необоснованост на съдебния акт. Съдът е обсъдил всички събрани по делото доказателства, правилно ги е анализирал и въз основа на това не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са логични, последователни и почиват на доказателствения материал. По изложените съображения решението на АССГ е правилно, като постановено в съответствие с приложимия материален закон и същото е обосновано. При отсъствие на пороците, посочени от касатора като отменителни основания решението следва да бъде оставено в сила. Предвид изхода на спора и съобразно претендираните и доказани разноски, с оглед факта, че ответната страна е представлявана от юрисконсулт в съдебното производство, на основание чл. 143, ал. 3 АПК, на ответника следва да се определи юрисконсултско възнаграждение в размер на 102.26 (сто и два и двадесет и шест евроцента) евро. По изложените съображения и на основание чл. 221, ал. 2, предл. първо АПК, Върховният административен съд, пето отделение,