Решение № 885 от 28.01.2026 г. на ВАС по адм. д. № 5884/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от "Изи Асет Мениджмънт" АД, чрез юрк. К. Балев, срещу решение № 9261 от 17.03.2025 г. по адм. дело № 9878 / 2024 по описа на Административен съд - София-град (АССГ), с което е отхвърлена жалбата на дружетсвото срещу решение № ППН-01-319/2022 г. от 05.09.2024 г. на Комисията за защита на личните данни (КЗЛД) в частта му по т.2, 3, 4 и 6. В касационната жалба са развити доводи за неправилност на оспорения съдебен акт поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 от АПК. Оспорват се изводите на съда, че администраторът на лични данни не е съставил оценка на риска за личните данни на М. М. Г., дори и след подадения от нейна страна сигнал. Твърди се, че „Изи Асет Менджмънт“ АД е извършил справка по номер на документа за самоличност при кандидатстването, за което като доказателство е представен системен запис, който служи за удостоверяване на датата и часа на извършването му – 24.02.2021г,12:08:30 (BST). Изложени са съображения, че дружеството е получило достъп до следваща версия на система за междурегистров обмен, която е използвал от момента, в който е бил предоставен. В допълнение е посочено, че с получения достъп е осъществена промяна в техническите и организационни мерки на дружеството още преди разглеждане на жалбата пред КЗЛД, които данни не са обсъдени и взети под внимание от административния орган и от първоинстанционния съд. Иска се отмяна на решението като неправилно. Не се претендират разноски. Ответникът - Комисия за защита на личните данни, чрез процесуален представител М. Райчева, изразява становище за неоснователност на касационната жалба. Претендира присъждане на юрисконсултско възнаграждение. Прави възражение за прекомерност на претендираните от касатора разноски. Ответниците - М. М. Г. и „Агенция за контрол на просрочени задължения“ АД не изразяват становище по касационната жалба. Ответникът - „Файненшъл България“ ЕООД, чрез юрк. М. Златанова, в писмено становище излага съображения за основателност на касационната жалба. Моли обжалваното решение да се отмени като неправилно и необосновано. Не претендира разноски. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение намира касационната жалба за допустима, като подадена в срок, от активно процесуално легитимирана страна, срещу съдебен акт, подлежащ на контрол пред настоящия съд. Предмет на контрол за законосъобразност пред Административен съд – София-град е решение № ППН-01-319/2022 от 05.09.2024 г. на КЗЛД, в частта, с която на основание чл. 38, ал. 3 от Закона за защита на личните данни (ЗЗЛД): в т. 2 жалба с рег. № ППН-01-319 от 17.05.2022 г. подадена от М. М. Г. е обявена за основателна по отношение на “Изи Асет Мениджмънт“ АД и “Файненшъл България“ ЕООД, за извършване на неправомерно обработване на личните ѝ данни; в т. 3 на основание чл. 58, § 2, буква г) от Регламент (ЕС) 2016/679 за нарушение на чл. 32, § 1, буква г) от Регламент (ЕС) 2016/679 е разпоредено на администратора на лични данни да въведе процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационни мерки с оглед гарантиране спазването на сигурността на данните; в т. 4 на основание чл. 83, § 4, буква а) вр. чл. 58, § 2, буква и) от Регламент (ЕС) 2016/679 допълнително към мярката по т. 3 на “Изи Асет Мениджмънт“ АД е наложена имуществена санкция в размер на 5 000 (пет хиляди) лева; в т. 6 е определен тримесечен срок, считано от датата на влизане в сила на решението, за изпълнение на всяко едно поотделно. От фактическа страна е установено, че производството по издаване на оспорения административен акт е образувано по жалба на М. М. Г. за неправомерно обработване на личните й данни от страна на “Изи Асет Мениджмънт“ АД, “Файненшъл България“ ЕООД и „Агенция за контрол на просрочени задължения“ АД. Констатирано е, че на 04.05.2022 г. М. Г. е получила справка от Българска народна банка за кредитна задлъжнялост, за това че от нейно име е изтеглен и усвоен потребителски кредит №4071412 от 24.02.2021 г. с кредитор „Изи Асет Мениджмънт“ АД за сумата от 350 лв.. На същата дата от същото лице е сключен и договор за поръчителство с „Файненшъл България“ ЕООД. По силата на договор за цесия вземането е прехвърлено на „Агенция за контрол на просрочени задължения“ АД. В договорите физическото лице (М. М. Г.) е индивидуализирано с данни по лична карта [номер], изд. на 02.07.2015 г. от МВР – София, която към датата на кандидатстване е била невалидна. Констатирано е, че М. Г. е притежавала лична карта [номер], която на 20.12.2016 г. е била открадната от неизвестно лице и от същата дата е обявена за невалидна от органите на МВР. Лицето има издаден нов документ за самоличност от 23.01.2017 г. От страна на дружеството са изложени съображения, че преди сключване на процесния договор за кредит от кредитния консултант е проверена пластиката на представения документ за самоличност, като не е установено наличие на структурни дефекти и изтекъл срок на валидност. Личната карта е била ксерокопирана и надлежно заверена от кандидатстващото лице и кредитния консултант. Съгласно Политиката за защита на личните данни на „Изи Асет Мениджмънт“ АД справка за валидността на документи за самоличност се правела в сайта на МВР или чрез системата за междурегистров обмен RegiX. По отношение на процесната лична карта се твърди, че е извършена справка в системата на дружеството и е получена информация от Регистъра на български документи за самоличност чрез системата RegiX, съгласно осигурен достъп със Заповед № ДАЕУ-1181 от 24.01.2019 г. Посочено е, че съобразно представените документи и размера на паричния заем е приложена процедура по автоматично одобрение на кандидатстването. Вследствие на подадената до КЗЛД жалба, договора за цесия между „Изи Асет Мениджмънт“ АД и „Агенция за контрол на просрочени задължения“ АД е развален поради злоупотреба с лични данни и са предприети мерки кредита по договор №40714112/24.02.2021 г. да бъде подаден към Централния кредитен регистър като приключен. Установено е, че лицето М. Г. не е била в договорни отношения с „Изи Асет Мениджмънт“ АД, не е отправяла запитвания към дружеството и не е предоставяла личните си данни на нейни служители. В административното производство е назначена графическа експертиза, вещото лице по която е установило, че изображенията на подписи и ръкописно изписани текстове и цифри по гореописаните договори, не са изпълнени от М. М. Г.. При тези фактически данни от правна страна първоинстанционният съд е приел, че оспореният пред него административен акт е издаден от компетентен орган в пределите на предоставените му правомощия, в предписаната от закона форма, при спазени изисквания за реквизити и съдържание на акта, без допуснати съществени нарушения на административнопроизводствените правила, при правилно приложение на материалния закон и в съответствие с неговата цел. Решението е правилно. Решението е обосновано. Съдът е обсъдил всички събрани по делото доказателства, правилно ги е анализирал и не е допуснал грешки при формиране на вътрешното си убеждение. Изводите му са логични, последователни и изградени върху правилен анализ на доказателствата и се споделят от настоящата инстанция, като в условията на чл. 221, ал. 2, изр. второ от АПК препраща към тях. Несъгласието на касационния жалбоподател с изводите на съда не води дo порочност на съдебния акт. В настоящия случай отговорността на администратора на лични данни „Изи Асет Мениджмънт“ АД е ангажирана за нарушение сигурността на личните данни, предвидени в разпоредбата на чл.32, § 1 от Регламент (EC) 2016/679. Обоснован и в съответствие с доказателствата по делото е изводът на съда, че при сключване на договор за кредит №4071412/14.02.2021 г., правилата въведени от дружеството, не са били достатъчно ефективни, за да предотвратят неправомерното обработване на лични данни на М. Г.. Проверката на идентичността на кредитоискателя е важна, не само за да се гарантира връщането на кредита, но и за да се гарантира, че са изпълнени изискванията на закона от администратора на лични данни. По делото не е спорно, че „Изи Асет Мениджмънт“ АД, в качеството му на администратор на лични данни, е обработвал по см. на чл.4, §2 ОРЗД личните данни (имена, ЕГН, номер на лична карта, дата на издаване и орган-издател на документа за самоличност) на М. Г. при инициирана и проведена процедура по кандидатстване, одобрение, сключване на договор за кредит и усвояване на сума от 350 лева по този договор. Налице е идентичност между лицето, с което е сключен договор за паричен заем и лицето, до което се отнасят данните. В случая безспорно се установява, че личната карта, с която е сключен процесния договор за кредит е била невалидна към момента на кандидатстване и личните данни на М. Г. са били използвани без нейно съгласие. Установено е, че Г. не е била клиент на дружеството и не е ползвала услугите му. Разпоредбите на чл.59, ал.1 от ЗЗЛД и чл.24, §1 от Регламент (ЕС) 2016/679 задължават администратора на лични данни не само да прилага подходящи технически и организационни мерки при обработването на лични данни, но и да е в състояние да докаже, че това обработване се извършва в съответствие със закона. В тази връзка неоснователни са доводите на касатора, че на дружеството е следвало да бъдат дадени допълнителни указания за представяне на относимия запис от електронния журнал, тъй като доказателствената тежест да докаже, че законосъобразно е обработвал личните данни, се възлага на администратора на лични данни, което в случая не е изпълнено. Правилни са изводите на първоинстанционния съд, че към процесната дата липсват доказателства за периодична оценка на нивата на достъп до публичните регистри за проверка идентичността на лицата, чиито лични данни са обработвани, както и оценка на ефективността на въведените процедури и проверки, които извършват служителите при одобряване на кредити. Не са налице доказателства за надлежно, ефективно извършени действия по идентификация на лицето и последващ контрол върху данните, които са задължения на администратора на лични данни. Доказателства за изпълнение на задълженията на дружеството по смисъла на чл.32, § 1 от Регламент (EC) 2016/679. не са представени и в съдебното производство. Наведените от касатора твърдения за промяна в обхвата на резултатите, които се генерират от регистър “Български документи за самоличност“ не могат да бъдат разглеждани като изпълнение на това задължение, тъй като безспорно е установено, че личните данни на М. Г. са използвани без нейно съгласие и за същата са настъпили неблагоприятни правни последици. Изпълнение на задължението, произтичащо от разпоредбата на чл. 32, § 1, буква г) от Регламент (ЕС) 2016/679 е свързано с извършването на съответни проверки (планови/инцидентни, първоначални/последващи), чиято цел е установяване на състоянието на техническите и организационни мерки за защита на личните данни, вкл. и не само дали и доколко се прилагат същите от неговите служители и доколко те са адекватни. В случая няма данни да е налице изпълнение на това задължение към процесната дата от “Изи Асет Мениджмънт“ АД. Първоинстанционния съд правилно е анализирал наложените от КЗЛД корективни мерки по чл. 58, § 2, буква „г“, във връзка с чл. 83, § 4, б „а“ и по чл. 58 § 2, буква „и“ от ОРЗД като е приел, че те са най-подходящи и целесъобразни. С оглед така установеното нарушение в съответствие с приложимата нормативна уредба, на която се е позовала КЗЛД, на администратора на лични данни е наложена имуществени санкция в размер на 5 000 лв. Санкцията е съобразена с тежестта на нарушението от страна на “Изи Асет Мениджмънт“ АД и същата не се явява прекомерна. Дружеството трябва да съобрази мерките, които да осъществят целта на закона като въведе процес на редовно изпитване, преценяване и оценка ефективността на техническите и организационни мерки с оглед гарантира спазване сигурността на данните. Предвид изложеното и с оглед липсата на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. При този изход на спора, в полза на Комисията за защита на личните данни следва да се присъдят разноски в размер на 200 лв. за юрисконсултско възнаграждение на основание чл. 143, ал. 3 АПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ. Водим от горното и на основание чл. 221, ал. 2, предложение първо от АПК, Върховният административен съд, пето отделение