Решение № 252 от 13.01.2026 г. на ВАС по адм. д. № 8614/2025 г.

Производството е по реда на чл. 208 – 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от "Застрахователно акционерно дружество ДаллБогг: Живот и Здраве" АД, гр. София, чрез процесуален представител, срещу решение №15329/07.05.2025 г. по адм.дело №7698/2024 г. на Административен съд - София - град, с което е отхвърлена жалбата му срещу решение № ПАИКД - 13 -17/2023 от 24.06.2024 г. на Комисията за защита на личните данни ( 2024 година на издаването съгласно решението на Комисията, съгласно съдебното решение - 20221 г.). Касаторът поддържа в касационната жалба, в съдебно заседание и в писмени бележки чрез процесуален представител, че обжалваното решение е неправилно - поради нарушение на материалния закон, допуснати съществени нарушения на съдопроизводствените правила и необоснованост, иска отмяната му, прогласяване нищожност на решението на КЗЛД, присъждане на разноски по делото съобразно представения списък. Ответникът по касационна жалба - Комисията за защита на личните данни (КЗЛД), в писмени бележки и в съдебно заседание чрез процесуален представител, иска оставяне на решението в сила, присъждане на юрисконсултско възнаграждение, прави алтернативно възражение за прекомерност на адвокатския хонорар на другата страна. Представителят на Върховната касационна прокуратура дава мотивирано заключение за допустимост, но неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок предвид доказателствата за изпращането й по пощата и от надлежна страна. За да се произнесе по съществото на касационната жалба, съдът взе предвид следното: АССГ, за да постанови обжалваното решение, е взел предвид, че с оспореното пред него решение на КЗЛД на основание чл.58, пар.2, буква "и" от Регламент (ЕС) 2016/679 е наложила на администратора "Застрахователно акционерно дружество ДаллБогг: Живот и Здраве" АД, административно наказание - имуществена санкция в размер на 50 000 лева съгласно чл.83 параграф 4 буква "а" за нарушение на чл.25, ал.1, чл.32, параграф1, буква "б" от Регламент (ЕС) 2016/679 и чл.83, параграф 5, буква "а" за нарушение на чл.5, параграф1, буква "е" от Регламент (ЕС) 2016/679. АССГ е приел, че решението е на компетентен орган в законен състав и с мнозинство съгласно чл.9, ал.3 ЗЗЛД, в предвидената от закона писмена форма и съдържа необходимите реквизити, при постановяването му не са допуснати съществени нарушения на административно - процесуалните норми. В подкрепа на тези си изводи съдът е посочил, че КЗЛД като надзорен орган със специална компетентност разполага с правомощията по чл.58 от Регламент (ЕС) 2016/679 (Общ регламент за защита на данните - ОРЗД) във всички случаи, включително и при производство, започнало с уведомление от администратора на лични данни по реда на чл.33 ОРЗД, какъвто е настоящият случай. Административното производство е проведено по реда на чл.63 от Правилника за дейността на КЗЛД и нейната администрация (Правилника) в съответствие с цитираната разпоредба и принципите на служебното начало по чл.9, ал.2 АПК и на истинност по чл. чл.7, ал.1 и 2 АПК. Оспореният акт на КЗЛД съответства с приложимото материално право, тъй като администраторът на лични данни не е предприел подходящи мерки за поверителност на личните данни и защита от външна намеса, не са въведени механизми за оценка на рисковете и на ефективността на защитата, каквито технически възможности са налице чрез двуфакторна идентификация на потребителите. Не се е установило към момента на неоторизирания достъп от трето неустановено лице до личните данни на клиентите и служителите на застрахователя чрез информационната му система в интертнет дружеството да е отговаряло на завишените изисквания на стандарт БДС ЕN ISO/ ЕС 27701:2021. Допускайки занижено ниво на сигурност до информационните системи, съдържащи лични данни, администраторът на лични данни е нарушил изискванията на чл.25, пар.1 и чл.32, пар.1 ОРЗД. Наложената имуществена санкция е към минимума на чл.83, пар.4 ОРЗД предвид оборота на предприятието за предходната финансова година, като е отчетено като смекчаващо отговорността обстоятелство уведомлението по чл.33 ОРЗД и размерът на санкцията отговаря на изискванията на чл.83, пар.1 ОРЗД за ефективност и пропорционалност. Изложени са и мотиви за съответствие на решението с целта на ОРЗД и ЗЗЛД. Решението е правилно. Неоснователни са оплакванията на касатора, че АССГ неправилно е приел, че дружеството следва да отговаря за деяние, извършено от друго лице, без да изясни характера на пробива в сигурността, броя на засегнатите лица, вида на информацията, характера на личните данни и начина, по който се засягат правата на потребителите. Както е посочил и АССГ, отговорността на администратора на лични данни е ангажирана за това, че не е взел необходимите организационни и технически мерки за опазване на обработваните от него лични данни съгласно чл.25, пар.1 ОРЗД, а не за извършения пробив на информационната му сигурност от трето лице. Освен това в решението на КЗД се съдържат констатации за засегнати лични данни на около 250 000 лица по данни от уведомлението по чл.33 ОРЗД и засегнатите лични данни като три имена, ЕГН, адрес, адрес на електронна поща и телефон в част от случаите, данни от талон и шофьорска книжка, както и банкови сметки. Нормативно задължение за опазване на личните данни е от пряко приложимия ОРЗД, който е с примат пред националното право и предвижда в чл.32, пар.1 ОРЗД, че като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. КЗЛД е установила, че нерегламентираното извличане на лични данни е продължило повече от шест месеца, без администраторът да установи пробива и е разбрало за него, след като е бил уведомен от хакера, което сочи на неизпълнение на цитираните по - горе задължения на администратора на лични данни. Неоснователни са оплакванията на касатора, че за неправилност на извода на АССГ, че КЗЛД може да наложи санкция само по реда на ЗАНН, но не и по реда на чл.38, ал.1 ЗЗЛД. ОРЗД не съдържа процедурни правила за налагане на имуществената санкция или глобата на администратора на лични данни, поради което същите се уреждат от националното право. ОРЗД единствено сочи, че компетентният орган да наложи имуществената санкция по чл.58 ОРЗД е надзорният орган - тоест КЗЛД. В чл.87 ЗЗЛД са уредени хипотези на приложение на ЗАНН, в които наказателното постановление се издава от председателя на КЗЛД, поради което тази процедура е неприложима при налагане на санкция по чл.58, параграф2, буква "и" ОРЗД, която може да бъде наложена само от надзорния орган - КЗЛД. Отделно от това правилно АССГ е констатирал, че процедурата, в която КЗЛД налага санкция след уведомление по чл.33 ОРЗД е уредена в чл.62 и чл.63 от Правилника и същата е различна от процедурата по ЗАНН. Предвид неприложимостта на ЗАНН са неоснователни и доводите, свързани с давностните срокове по ЗАНН, а твърдението за изтекъл давностен срок по АПК не се подкрепя от съдържанието на цитирания от касатора чл.57, ал1 АПК, който урежда срок за произнасяне на административния орган в общия случай на издаване на индивидуален административен акт при липса на такъв в специалния закон и няма характер на давностен срок. Неоснователни са и доводите за неправилен извод на АССГ относно спазването от КЗЛД на целта на ОРЗД и ЗЗЛД. Настоящият съдебен състав намира, че при неопазване на личните данни на около 250 000 клиента и служителите на застрахователя и изискването на чл.83, пар.1 ОРЗД наложената санкция да е ефективна, възпираща и пропорционална, няма правна възможност за преценката санкцията в размер на 0,12% от оборота за 2022 година ( при предвиден максимум - 2%) да бъде отменена или изменена като завишена. Предвид изложеното решението като правилно следва да бъде оставено в сила. С оглед изхода на спора по същество няма възможност за присъждане на претендираните от касатора разноски. На КЗЛД следва да се присъди на основание чл. 78, ал. 8 от ГПК, вр. чл. 37 от Закона за правната помощ, вр. чл. 24 от Наредбата за заплащането на правната помощ претендираното юрисконсултско възнаграждение в размер на 200 лева с равностойност 102,26 евро, платимо от касатора. Воден от горното и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение