Решение № 7941 от 14.07.2026 г. на ВАС по адм. д. № 1254/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на „МИКРО КРЕДИТ“ЕАД, чрез процесуален представител адв. Г. Митев, срещу Решение №39204/25.11.2025 г. постановено по адм. дело №8328/2025 г. на Административен съд София – град/АССГ/. Според касатора решението е неправилно, поради необоснованост и превратно прилагане на материалния закон – отменително основание съгласно чл.209, т.3 от АПК. Санкцията е несъразмерна спрямо характера на твърдяното нарушение - засегнато е само едно лице, което не е претърпяло никакви вреди, няма данни за системна практика или повторност, не е налице материална облага за дружеството. Моли решението да бъде отменено и вместо него да бъде постановено друго, с което касационната инстанция да отмени Решение №ППН-01-83/2023 г. от 18.07.2025 г. на Комисия за защита на личните данни/КЗЛД/, алтернативно- да измени обжалваното решение на АССГ, като приложи адекватна санкционна мярка или намали размера на наложената имуществена санкция до разумен и справедлив размер. В съдебно заседание касаторът не се представлява. Постъпила е писмена молба на 13.05.2026 г. от адв. Г. Митев за разглеждане на делото в негово отсъствие. Ответникът – Комисия за защита на личните данни/КЗЛД/Комисията/ не депозира отговор по касационната жалба. В съдебно заседание ответникът не се представлява. Ответникът А. Ш., не депозира отговор по касационната жалба. В съдебно заседание ответникът не се явява и не се представлява. Представителят на Върховна касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Съдебното решение е правилно и законосъобразно и следва да бъде оставено в сила. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е основателна. Първоинстанционният съд е приел за установено от фактическа страна следното: Производството пред административния орган е образувано по жалба ППН-01-83 от 31.01.2023 г., подадена от А. Ш., с твърдения за неправомерно обработване на личните й данни във връзка с отпуснат кредит от 20.09.2022 г. в размер на 750 лева от „Микро кредит“АД. Ш. е твърдяла, че неправомерно са били използвани нейни лични данни – три имена, ЕГН, адрес и номер на лична карта, като бил изтеглен кредит на нейно име, без нейно знание и съгласие и без да заяви тази услуга. С оглед изясняване на обстоятелствата по жалбата, на основание чл. 26 от Административнопроцесуалния кодекс КЗЛД е уведомила на основание чл. 34, ал.3 от АПК "Микро Кредит“ЕАД, който е представил писмено становище. В хода на административното производство за изясняване на случая, КЗЛД е изискала становища от мобилния оператор, от Министерството на вътрешните работи, от МРРБ и от Министерство на електронното управление. Установено било, че кандидатстването, потвърждаването и сключването на договор за заем е осъществено в периода 19.09.2022 г. - 20.09.2022 г. чрез електронната платформа. Подадена е била заявка за отпускане на кредит за сумата от 750 лева от А. Ш., [ЕГН], номер на лична карта [заличен текст], с адрес: гр. София, [жк], [улица] електронна поща [електронна поща]. Заявителят качил в ел. платформа и снимки на лична карта и селфи с лична карта. Въз основа на така предоставената информация, служители на дружеството - жалбоподател извършили проверка на представените лични данни, и след като приели представената от заявителя лична карта за валидна, е бил сключен договор за заем от разстояние от 20.09.2022 г. между А. Ш. / с горепосочените идентификационни данни/ и „Микро Кредит“ЕАД. Сумата по договора в размер на 750 лева била преведена чрез системата на „Изипей“ АД и получена от кредитополучателя. Въз основа на проведеното административно производство КЗЛД се е произнесла с решение, обективирано в протокол № 28 от заседание, проведено на 14.05.2025 г. на което е разгледала жалбата по същество. С оглед така установените факти, КЗЛД приела, че жалбоподателят не е взел предвид, че посочената дата на раждане в представената снимка на лична карта /08.06.1969 г./ не съответства на първите шест цифри от изписаното в същата тази лична карта ЕГН – [заличен текст]. Дружеството не е съобразило, че от извършените справки от НАИФ, НРБЛД, ЦКР и НОИ се установява, че данните са на лице с имена А. Ш,, а не А. Ш.. КЗЛД е постановила Решение № ППН-01-83/ 2023г от 18.07.2025 г. с което: 1. жалбата с рег. № ППН-01-83 от 31.01.2023 г., подадена от А. Ш. срещу „Микро Кредит“ АД е обявена за основателна за извършено нарушение на чл. 5, § 1, б. „а“, предл. 1 от Регламент /ЕС/ 2016/679 при обработката на личните данни на А. Ш. в контекста на отпуснат заем по договор от 20.09.2022 г; 2. На основание чл. 58, § 2, буква „г“ от Регламент /ЕС/ 2016/679 е разпоредено на „Микро Кредит “АД да ограничи обработката на личните данни на А. Ш. само за целите за спазване на правно задължение, което изисква обработване и което се прилага спрямо него и за установяване, упражняване и защита срещу правни претенции; 3. Определен е срок за изпълнение на разпореждането по т. 2 на 14 дни, считано от датата на влизане в сила на решението; 4. На основание чл. 83, § 5, буква „а“, вр. чл. 58, § 2, буква „и“ от Регламент /ЕС/ 2016/679 на „Микро Кредит “АД е наложена имуществена санкция в размер на 20 000 лева. С обжалваното решение АССГ е отхвърлил жалбата на „Микро Кредит“ЕАД срещу решението на КЗЛД, като е приел от правна страна, че последното е издадено от компетентен орган, в съответствие с предоставените му правомощия и в предвидената от закона писмена форма, като съдържа всички изискуеми по чл. 59 от АПК реквизити, поради което не е нищожен и е постановен в съответствие с изискванията за форма на административния акт. Спазено е изискването КЗЛД да събира доказателства, да изисква допълнително информация, както и да извършва други действия в производството по раздел ІІ „Разглеждане на жалби от физически лица” по реда на АПК. На страните в производството е предоставена възможност да се запознаят с приложените по преписката доказателства и да изразят становище. При произнасяне по съществото на спора са обсъдени представените по преписката писмени доказателства, както и изразените становища по отправените в жалбата твърдения. Административното производство е проведено в съответствие със специалните разпоредби на ЗЗЛД, чл. 34 и следващите от АПК. Съдът е посочил, че в разпоредбата на чл. 6 от Регламент /ЕС/ 2016/679 са предвидени хипотезите, при наличието на които се допуска обработването на лични данни. Обработването на лични данни е допустимо само в случаите, когато е налице поне едно от изчерпателно изброените в нормата условия. Според АССГ безспорно в конкретният казус не са налице основанията по чл. 6, § 1, от б. "в" до б „е“ от Регламент /ЕС/ 2016/679. Няма спор, че данните на А. Ш. са обработени без нейно знание и съгласие, против волята й. /чл. 6, § 1 б. „а“ от Регламент ЕС 2016/679./. Като администратор на лични данни по смисъла на чл. 4, т.7 от Регламента „Микро Кредит“ EАД има задължение да обработва личните данни на физическите лица в случаите, когато това е допустимо при наличие на поне една от посочените в чл. 6 предпоставки. Осъществените от „Микро Кредит“ ЕАД действия /стъпки/ предхождащи отпускането на заем, респ сключване на договор за заем с лице което не е идентично с А. Ш., попада в хипотезата на обработване на лични данни съгласно легалната му дефиниция в чл. 4, т 2 от Регламент /ЕС/ 2016/679, тоест „Микро кредит“ ЕАД е администратор на лични данни по смисъла на цитираната правна уредба. След като е безспорно, че от страна на третото лице няма съгласие, съдействие или искане до администратора, следва единствения извод, че обработването на личните му данни без правно основание е незаконосъобразно. Според АССГ не е приложима разпоредбата на чл. 6, § 1, б. "б" от Регламент /ЕС/ 2016/679 - по отношение обработването на лични данни, а именно обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; В конкретният случай според съда и на база събраните и ангажирани доказателства обработването на данните не е на нито едно законно основание по чл. 6, § 1 от Регламент /ЕС/ 2016/679, вкл и на тези по б. „а“ и б „б“. "Микро Кредит“ ЕАД има достъп до регистъра на населението НБДН за целите на проверка на кредитоспособността на ФЛ- клиенти на дружеството. На 19.09.2022 г. и на 20.09.2022 г. /периода, в който е осъществено кандидатстването и сключването на договора за заем/, "Микро Кредит"ЕАД не е осъществило достъп до НБДН. Дружеството е осъществило достъп до Централния кредитен регистър на посочените дати и направило справка в НОИ. Въпреки наличието на несъответствия /имена в справките, снимката/, то те са игнорирани от служителите на дружеството, които са ангажирани в процесите по идентификация и верификация на личните данни на клиенти - физически лица. Не са направени справки в ГД "ГРАО“ и не е направена справка за валидността на снимката на личната карта. Адекватното изпълнение на задължението за обработка на личните данни в съответствие с изискванията на ОРЗД, е изцяло в тежест на администратора на тези данни и същото не може да се поставя под условие в зависимост от поведението на трети лица, било то и държавни институции. Именно в резултат на всичко това, /ненаправени справки, респ. направени такива при които обаче, несъответствията са игнорирани/, се стига до обработване лични данни на А. Ш. без основания за това. Според АССГ липсват доказателства за надлежно, ефективно извършени действия по идентификация на лицето,както и на последващ контрол върху такива действия - задължения на администратора на лични данни. Неизпълнението на задължението за идентификация на лицето, чиито данни се обработват крие редица рискове, както е посочено и в съображенията към Регламент 2016/679, като загуба на контрол над данните, кражба на идентичност, настъпване на имуществени и неимуществени вреди и др. Тези негативни последици биха били избегнати ако служителите на дружеството бяха изпълнили стриктно задълженията си свързани с идентификация на клиентите. Изпълнението на това задължение има за цел да гарантира сигурността и да се предотврати обработване, което е в нарушение на Регламент /ЕС/ 2016/679. Личните данни трябва да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните, а в случая този субект не е предоставял своите данни /имена, адрес и ЕГН, които са лични данни по смисъла на чл. 4, § 1 от Регламента/ и не е давал съгласието си те да бъдат обработвани от администратор по смисъла на § 2 на чл. 5 от Регламента. Констатираната липса на доказателства за надлежно, ефективно извършени действия по идентификация на лицето, за липса на последващ контрол върху такива действия, са задължения на администратора на лични данни. Съдът е обобщил, че личните данни на А. Ш. са използвани без нейно съгласие за отпускане на заем. „Микро Кредит“ ЕАД не е доказал по категоричен и безпротиворечив начин, че е обработвал личните данни на Ш. на някое от основанията по чл. 6 § 1 б „а“ и б „б“ от Регламента. Няма несъмнени доказателства които да убедят съда, че именно Ш. е формирала съгласие за сключване на договора от 20.09.2022 г. по смисъла на чл. 6, § 1, б."а“ и б. “б“ от Регламента. АССГ е приел, че „Микро Кредит“ ЕАД е нарушило разпоредбата на чл. 5, § 1, буква "а", предл първо от Регламент /ЕС/ 2016/679 като е обработило личните данни на А. Ш. незаконосъобразно. Първоинстанционният съд е споделил изцяло становището на КЗЛД, че най- подходяща и целесъобразна е мярката по чл. 58, § 2, б. "г" от Регламент /ЕС/ 2016/679, съгласно който всеки надзорен орган има всички от посочените по-долу корективни правомощия: да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. По същество наложената мярка, с характеристика на принудителна административна мярка, има за цел преустановяване на извършваното нарушение, като по този начин се постига дължимото поведение по отношение на защитата на личните данни. Решаващият съд е приел, че това е мярката, отговаряща на принципа за съразмерност /чл. 6 от АПК/, която в най- пълна степен съответства на обществения интерес /защита на личните данни на трети лица/ и частния такъв /защита от неправомерно обработване лични данни на жалбоподател/. Административният орган разполага с оперативна самостоятелност по отношение избора на санкция, като в съответствие с предоставените му функции преценява - кое от корективните правомощия по чл. 58, § 2 от Регламента да упражни. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес. Правомощията по чл. 58, § 2 от Регламента, без това по б. „и“, имат характера на принудителни административни мерки, чиято цел е да предотвратят, респ. да преустановят извършването на нарушение, като по този начин се постигне целеното от него поведение в областта на защитата на личните данни. При определяне на корективната мярка следва да бъде съобразена целта, която се преследва с налагането й и дали с изпълнението й тази цел ще бъде постигната. Установеното нарушение на ЗЗЛД и Регламента ЕС 2016/ 679 от страна на „Микро Кредит“ ЕАД, обуславя правомощието на КЗЛД по чл. 58, § 2, б. „г“ да разпореди на администратора да ограничи обработката на личните данни на А. Ш. само за целите за спазване на правно задължение, което изисква обработване и което се прилага спрямо него и за установяване, упражняване и защита срещу правни претенции, като това да стане по указан начин и в определен срок. Относно прилагането на подходящата корективна мярка по член 58, § 2 от Регламента следва да се има предвид естеството, тежестта и последиците от нарушението, като се оценят всички факти по случая. Оценката за това, какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай ще трябва да отразява целта, преследвана с избраната корективна мярка, т.е. възстановяване на спазването на правилата. В случая корективна мярка по член 58, § 2, буква "г" от Регламента се явява целесъобразна и ефективна мярка, за защита на законовия обществен интерес, като мярката е подходяща и съответна, имаща предупредителен ефект спрямо конкретиката на случая. По отношение на наложената имуществена санкция, предвидено в б. „и“ на чл. 58, § 2 от регламента, която се прилага в допълнение към мерките по б. „а“ – „з“ и „й“ или вместо тях, АССГ е приел, че размерът на наложеното административното наказание „имуществена санкция“ е индивидуализиран от административния орган съобразно степента на засягане на обществените отношения по защита на личните данни и предишно нарушение, извършено от администратора / обработващия лични данни Микро Кредит АД/ арг от чл. 83 § 2 б „д“/, установено с влязло в сила Решение № ППН 01-974/ 2018 от 10.09.2019 г. с което за нарушение на чл. 6, § 1 и чл. 5, § 1, б. „а“ и „в“ от Регламента е наложена имуществена санкция в размер на 1 500 лв. Посоченото Решение на КЗЛД е било предмет на съдебен контрол по адм. дело №11622/ 2019 г. на АССГ, по което жалбата на дружеството срещу решението е отхвърлена като неоснователна. Съдебното решение е влязло в законна сила на 25.06.2020 г. При определяне размера на санкцията административният орган подробно е обсъдил елементите на чл. 83, § 2 от Регламент /ЕС/ 2016/679, като е съобразил и размера на годишните приходи на санкционираното дружество, поради което АССГ е приел, че наложената санкция в размер на 20 000 лева не е завишена. По тези съображения първоинстанционният съд е достигнал до правен извод че оспореното решение на КЗЛД не страда от пороци, водещи до неговата отмяна, поради което е отхвърлил жалбата като неоснователна. Върховният административен съд, състав на Пето отделение, намира касационната жалба за процесуално допустима като подадена в срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. При извършената проверка по реда на чл.218 от АПК настоящият съдебен състав намира, че обжалваното съдебно решение е валидно и допустимо, но неправилно, като постановено в нарушение на материалния закон. Административното производство пред КЗЛД е образувано по жалба на А. Ш., в която е навела твърдения за злоупотреба с нейни лични данни. Посочила е, че от нейно име са били изтеглени няколко кредита от различни търговци. Направила е искане да бъде проверен сигналът й спрямо „Микро Кредит“ЕАД за отпуснат кредит с идентификатор 8052-00144427 в размер на 750 лв., дата на разрешаване на кредита - 20.09.2022 г. Ш. е посочила в жалбата си до Комисията, че неоснователно използаните нейни данни са трите й имена, единният й граждански номер, адрес и номер на лична карта. Нито в хода на административното производство, нито в съдебното е била изискана и приета като доказателство Справка от информационната система на Централния кредитен регистър/ЦКР/ към Българска народна банка/БНБ/ за наличие на данни относно предоставени кредити на А. Ш. за твърдяния период - 20.09.2022 г. По делото е приет Договор за заем с №8052-00144427/20.09.2022 г., но като Заемополучател по същия е посочено лицето А. Ш. /лист 44 - 45 от първоинстанционното дело/. Видно от Протокол №28/14.05.2025 г. на КЗЛД А. Ш. е заявила пред Комисията, че си е „пуснала справка от Централния кредитен регистър“. Посочила е, че от „няколко места бяха теглени кредити от мое име, с подправени мои документи“. Изрично жалбоподателката е посочила, че на 20.09.2022 г., чрез платформа „Кредит нет“ е бил изтеглен кредит за сумата от 750 лв., но тя „не е теглила въпросния кредит, не е подписвала документите, не е усвоявала сумата…“/лист 245 - 250 от първоинстанционното дело/. Без да извърши проверка на твърденията на Ш., като изиска от ЦКР при БНБ, респективно - от жалбоподателката, справка за кредитната й задлъжнялост, Комисията е приела за безспорно, че е налице злоупотреба с лични данни на Ш. от страна на „Микро Кредит“ЕАД. По делото се съдържа Договор за заем №8052-00144427 от 20.09.2022 г., но същият касае лице с различни имена - А. Ш. /жалбоподателката е с имена А. Ш./, в договора посоченият адрес е гр. София, [улица], [адрес] /на жалбоподателката постоянният адрес е гр. София, [улица], [адрес]/, номер на лична карта - №[заличен текст] /личната карта на жалбоподателката е с № [заличен текст]/, дата на издаване на личната карта - 22.10.2013 г./ дата на издаване на личната карта на жалбоподателката – 26.09.2022 г./. Т.е. налице е сключен договор за заем с друго лице, различно от жалбоподателката. В настоящия казус, за да има злоупотреба с лични данни на жалбоподателката А. Ш. следва да се установи, че същата е заемополучател по договор за заем, сключен с „Микро Кредит“ЕАД, за който договор да са налице данни в Централния кредитен регистър на БНБ. По тези съображения решението на АССГ следва да бъде отменено, а вместо него да бъде постановено друго, с което да се отмени обжалваното решение на КЗЛД и преписката се върне на административния орган за ново произнасяне с указания да се изиска от ЦКР при БНБ справка за наличие на предоставени кредити на А. Ш.. При установяване от Комисията, че Ш. е задължена по договор за заем, сключен с „Микро Кредит“ЕАД, административният орган да извърши проверка на твърденията й за неправомерна обработка на нейни лични данни от дружеството. Разноски не се претендират от страните, поради което съдът не дължи произнасяне. По изложените съображения и на основание чл. 221, ал. 2, изр. първо, предл. второ, вр. с чл. 222, ал. 2 от АПК, Върховният административен съд, състав на Пето отделение