Решение № 7378 от 01.07.2026 г. на ВАС по адм. д. № 10719/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на А. Д. А., чрез пълномощника си, срещу решение № 27053 от 11.08.2025 г. по адм. дело № 5863/2025 г. на Административен съд – София-град. С обжалваното решение АС – София-град е отхвърлил жалбата на А. Д. А. срещу решение № ППН-01-840/08.05.2025 г. на Комисията за защита на личните данни. Касационният жалбоподател поддържа, че решението е неправилно поради постановяването му при допуснати съществени нарушения на процесуалните правила, неправилно приложение на материалния закон и е необосновано – касационни основания за отмяната му по чл. 209, т. 3 АПК. Излага доводи, че съдът неправилно е приел, че е налице основанието по чл. 6, § 1, б. „в“ от Регламент (ЕС) 2016/679 за обработване на личните му данни, т. к. за администратора на лични данни е съществувало законово задължение по чл. 56, ал. 2 от Закона за кредитните институции и чл. 10, ал. 1 и 3 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър да подава информация в електронен вид за всички кредити на неговите клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване. Поддържа, че не са налице основанията по чл. 6, § 1 от Регламента за законосъобразно обработване на личните данни на касатора. Намира за вътрешно противоречиви изводите на съда, който от една страна е приел, че А. А. не се намира в договорни отношение с Обединена българска банка, т. к. договорът за кредит е сключен без негово знание и съгласие, а от друга страна е приел, че ОББ правилно и законосъобразно е подавала справки до Централния кредитен регистър за кредитната задлъжнялост на А. и това задължение произтича от чл. 56, ал. 2 ЗКИ и чл. 10, ал. 1 и 2 от Наредба № 22 от 16.07.2009 г. за ЦКР. Оспорва изводите на съда, че подаваната информация в ЦКР не е във връзка със сключения договор за кредит, както и че има качеството на клиент по смисъла на § 1, т. 1 ДР на Наредба № 22 от 16.07.2009 г. за ЦКР. Счита, че съдът неправилно е потвърдил решението на КЗЛД в частта, с което жалбата му срещу Българска народна банка е приета за недопустима. Сочи, че оплакванията му срещу БНБ са за това, че БНБ, в качеството си на контролен и надзорен орган, не е осъществила контрол относно създаване на вътрешни правила в ОББ за защита на личните данни на субектите, не е осъществила контрол относно истинността на данните, подавани от институциите по чл. 4, ал. 1 от Наредба № 22 от 16.07.2009 г. и не е извършила проверка, съгласно задължението си по чл. 12, ал. 1 от Наредба № 22 от 16.07.2009 г. Намира, че противно на приетото от съда, БНБ не е изпълнила задълженията си по чл. 12, чл. 25 и чл. 26 от Наредба № 22 от 16.07.2009 година. В тази връзка излага доводи, че съдът в нарушение на съдопроизводствените правила е отказал да събере поисканите от касатора писмени и гласни доказателства в подкрепа на позицията му по спора. При тези доводи, подробно развити в жалбата, иска да се отмени обжалваното решение и му се присъдят разноските по делото. Ответната Комисия за защита на личните данни, чрез процесуалния си представител, представя писмени бележки, в които излага доводи, че обжалваното решение е правилно, постановено е при изяснена фактическа обстановка и правилно приложение на материалния закон, поради което намира, че следва да се остави в сила. Ответникът по касационната жалба – Българска народна банка, чрез процесуалния си представител, представя писмен отговор, в който поддържа, че обжалваното решение е правилно и не са налице сочените касационни основания за отмяната му. Счита, че съдът правилно е приел, че БНБ упражнява само надзорни правомощия по отношение на подаваната информация до ЦКР и съгласно чл. 56, ал. 2 ЗКИ не носи отговорност за вреди във връзка със съхраняваната в системата информация, предоставяна от институциите по ал. 1, включително банките. Намира за правилни изводите на съда, че по делото няма представени доказателства за наличието на влязъл в сила съдебен акт, с който договорът за потребителски кредит № LD2022010138 от 07.08.2020 г. е обявен за недействителен, съответно лицето е страна по кредитното правоотношение, подаваната информация до ЦКР е съобразена със законовите изисквания и няма нарушение при обработване на личните данни на А. А.. Ответникът по касационната жалба – „Обединена българска банка“ АД, чрез процесуалния си представител, представя писмен отговор, с който изразява становище, че обжалваното решение е правилно и иска да се остави в сила. Сочи, че въпреки твърденията на А. А., че не е клиент на банката и не е подписвал приложения договор за кредит, няма основание за изтриване/заличаване на личните му данни, т. к. липсва яснота и развитие по наказателното производство, образувано по сигнал на жалбоподателя, както и че същият не е предприел действия по общия исков път за обявяване нищожността на процесния договор за кредит. При това положение счита, че съдът правилно и обосновано е приел, че банката обработва личните данни на касатора и подава информация до ЦКР на законно основание, поради което касационната жалба се явява неоснователна. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: Първоинстанционният съд е установил следните фактически обстоятелства: Производството пред КЗЛД е образувано по жалба с рег. № ППН-01-840/05.12.2022 г. на А. Д. А. срещу "Обединена Българска банка" АД, в която се сочи, че банката, в нарушение на правилата за защита на личните данни, неправомерно е подавала негови лични данни до Централния кредитен регистър, при условие, че не е клиент на "Обединена Българска банка" АД и не е давал съгласие за това. В жалбата си А. А. твърди, че за нарушението е узнал на 24.11.2022 г., когато му е била издадена от БНБ справка за кредитна задлъжнялост. С молба от 04.04.2023 г. жалбоподателят е уточнил, че оплакванията му към БНБ са за неосъществен контрол върху подадените от "ОББ" АД данни, а оплакванията му срещу "ОББ" АД са за незаконно обработване на личните му данни и невярна информация, че дължи 41 541,28 лв. просрочия по заем в "ОББ" АД и потребителски кредит от същата банка за 50 000 лв. С молба от 28.03.2025 г. жалбоподателят е представил заверено копие от протокол на съдебно-почеркова експертиза № 9/11.01.2023 г., изготвена по досъдебно производство № 513 ЗМИП 5079/2021 г. по описа на СДВР, в която в т. 9. 18-31 е отразено, че подписите в графи "кредитополучател" на искане, декларации, съгласия, копие на лична карта, методика за изчисляване на референтен лихвен процент, погасителен план и процесния договор не са положени от А. Д. А.. Представил е и протокол № 2021/ДОК-202 от 18.11.2021 г. на съдебно-почеркова експертиза, изготвена от МВР – НИК по възлагане от КЗЛД с писмо от 16.09.2021 г. във връзка с друга преписка, с предмет друг вид обработване на личните данни на жалбоподателя по същия договор със същата банка. Според т. 9. 2. от експертизата подписите за "кредитополучател" на процесния договор, на методиката за изчисляване на референтен лихвен процент и декларации и съгласия, предхождащи сключването на договора, не са положени от А. Д. А.. КЗЛД е разгледала жалба с peг. № ППН-01-840/05.12.2022 г. на А. А. в открито заседание, проведено на 03.04.2025 г. С Решение № ППН-01-840/08.05.2025 г. КЗЛД е приела за неоснователна жалбата на А. А. спрямо "ОББ" АД по съображения, че банката е кредитна институция, която има задължение да подава данни към информационната система на ЦКР и право да ползва такива за целите, за които е включена в системата. В тази връзка Комисията е приела, че законосъобразно и на основание чл. 6, § 1, букви в) и д) от Регламент (ЕС) 2016/679 банката е извършила обработка на лични данни на жалбоподателя - подаване на информация в ЦКР за кредитната задлъжнялост на А. А. по договор за кредит № LD2022010138 от 07.08.2020 г. Посочила е, че информацията е подадена на основание чл. 10, ал. 1 от Наредба № 22 от 16.07.2009 г., за изпълнение на задача от обществен интерес, предвид необходимостта и другите кредитни институции да достъпват информация за кредитната задлъжнялост на лицата, вписани в ЦКР, с цел защита на интересите им. Развила е аналогични съображения за законосъобразно обработване на личните данни на оспорващия по отношение на БНБ в качеството й на администратор на лични данни. Мотивирала се е, че посоченият договор за кредит не е обявен за недействителен с влязло в сила съдебно решение, а КЗЛД няма компетентност да се произнася по този въпрос. Приела е още, че експертизите, приети в други производства, не обвързват КЗЛД в процесното производство. Поради това е приела, че обработването на данните е съобразно принципа на законност по чл. 5, § 1, буква а) от Регламента и е законосъобразно на основание чл. 6, § 1, букви в) и д) от Регламент (ЕС) 2016/679. С решението си КЗЛД е приела жалбата на А. А. срещу БНБ за недопустима по отношение на оплакванията, че БНБ е нарушила правилата за защита на личните данни, поради това че не е извършила проверка относно законосъобразното им обработване от "ОББ" АД. Изложила е съображения, че проверки за спазване правилата за обработване на лични данни се правят от изрично посочени в закона държавни и съдебни органи – Комисията за защита на личните данни и съда. Същевременно е посочила, че КЗЛД няма нито право, нито задължение да осъществява контрол/надзор върху БНБ като контролен орган по смисъла на чл. 25 от Наредба № 22 от 16.07.2009 г. за ЦКР и е прекратила производството в тази част. По делото са приложени решения на КЗЛД по жалби на А. А. за неправомерно обработване на личните му данни от различни кредитни институции, почеркови експертизи, писмени доказателства във връзка със сключения договор за кредит, които са обсъдени подробно от съда. При тези фактически установявания, съдът правилно и обосновано е приел от правна страна, че обжалваното решение на КЗЛД е постановено в съответствие с изискванията за форма и съдържание, при спазване на административнопроизводствените правила и материалния закон. Правилно съдът е приел, че основният спорен въпрос по делото е дали личните данни на А. А. са обработвани на легитимно основание от администратора на лични данни при подаване на данни от „ОББ“ АД до Централния кредитен регистър във връзка с договор за кредит № LD2022010138 от 07.08.2020 година. В тази насока съдът е посочил, че съгласно принципите, заложени в чл. 5, § 1 от Регламент (ЕС) 2016/679, личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните и подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват /"свеждане на данните до минимум"/. Цитирал е чл. 6, § 1 от Регламент (ЕС) 2016/679, в който е регламентирано, че обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия: a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. Правилно съдът е потвърдил изводите на КЗЛД, че изброените правни основания са посочени алтернативно и те се определят в зависимост от характера на обработваните лични данни, целите и причините за обработването им. Съдът правилно е посочил, че обработването на личните данни на жалбоподателя не е при условието на чл. 6, § 1, б. "а" от Регламента – изразено съгласие от субекта на данни за обработване им. Предвид изложените фактически обстоятелства и очертания предмет на жалбата до КЗЛД, съдът вярно е констатирал, че претендираното неправомерно обработване на личните данни на касатора не попада в хипотезите на чл. 6, § 1, б. „а“ и „б“ от Регламента, задълженията на банката да подава информация до Централния кредитен регистър са по силата на законовите разпоредби, поради което наличието или не на съгласие на субекта на данни не е определящо при преценката за законосъобразното обработване на личните му данни от администратора в обсъжданата хипотеза. Съдът е достигнал до правно издържан извод, че с оглед предмета на правния спор Комисията правилно е преценила действията на ответната банка в хипотезата на основанието по чл. 6, § 1, б. „в“ от ОРЗД - обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора. На тази плоскост съдът е потвърдил изводите на КЗЛД, че за администратора съществува законово задължение по чл. 56, ал. 2 ЗКИ и чл. 10, ал. 1 и 3 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър, съгласно които разпоредби банковите институции са длъжни да събират и подават към Централния кредитен регистър информация в електронен вид за всички кредити на техните клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване. Информацията се подава ежемесечно до 15-о число на месеца, следващ отчетния, и касае състоянието по всички активни кредити на техни клиенти към последната дата на отчетния месец. Те подават в същия срок и информация за извършените корекции по кредити на техни клиенти за предходни отчетни периоди. За обсъждания случай съдът е посочил, че съществува договор за кредит, като спорът относно неговата действителност не е решен по съдебен ред от гражданския съд. Поради това правилно е приел, че като е подавала справка в Централния кредитен регистър относно кредитната задлъжнялост на жалбоподателя, "ОББ" АД е изпълнявала своето законово задължение. Подчертал е, че докато договорът за кредит не бъде прогласен за нищожен от съда по съответния исков ред, същият съществува и поражда формални задължения за банката. Поради това съдът правилно е потвърдил изводите на КЗЛД, че личните данни на жалбоподателя са обработени в съответствие с основанието по чл. 6, § 1, б. "в" от Регламента. В тази насока съдът обосновано е приел, че за администраторите на лични данни е налице и основанието по чл. 6, § 1, б. "д" от Регламента, т. к. изпълнението на възложени законови задължения винаги представлява упражняване на официални правомощия, предоставени на носителя на задължението. При тези съображения съдът е потвърдил извода на КЗЛД, че обработването на данните на жалбоподателя от администратора на лични данни е извършено съобразно принципа на законност по чл. 5, § 1, буква а) от Регламента и в съответствие с условието на чл. 6, § 1, б. “д“ ОРЗД, тъй като предвид целите на ЦКР обработването е необходимо за изпълнението на задача от обществен интерес. Общественият интерес следва от възможността предоставената информация за ЦКР да се ползва от другите кредитни институции за кредитните възможности на кредитополучателите и тяхната коректност при изпълнението на кредитите, с оглед отпускане на обезпечени и сигурни кредити, с което се гарантира сигурността на банковата система. Съдът правилно е потвърдил изводите на КЗЛД, че към датите на постъпване на информация в ЦКР през периода 31.05.2021 г. –12.10.2022 г., ОББ, като е подавала справка в ЦКР относно просрочията по договора за кредит, в който като страна фигурира А. А., е изпълнявала свое законово задължение, свързано с дейността й на кредитна институция, изрично предвидено в чл. 56, ал. 2 ЗКИ и чл. 10, ал. 1 и 3 от Наредба № 22 от 16.07.2009 г. за ЦКР. Следва да се отхвърлят като неоснователни аргументите на касатора, че след като съдът е констатирал липса на съгласие от негова страна за обработване на данните, е намерил същото за неотносимо по съображения, че не е налице влязъл в сила съдебен акт, с който се обявява нищожността на сключения договор за кредит поради липса на съгласие на страната. Изложените съображения от съда са правилни и кореспондират с правнозначимите факти и приложимата нормативна уредба. Както вече се посочи, за да е налице законосъобразно обработване на данни от администратора е необходимо да е осъществено някое от основанията по чл. 6, § 1, б. "а"– "д" от Регламента. В конкретния случай обработването на данни от банковата институция на основание чл. 6, § 1, б. „в“ ОРЗД е на плоскостта на задължението й да подава информация към ЦКР в обема, предвиден в законовите разпоредби във връзка със сключен договор за кредит, т.е. основанието по б. „в“ е самостоятелно и не е обвързано с основанието по б. „а“ на чл. 6, § 1 – изразено съгласие от лицето за обработване на личните му данни. Правилно съдът е приел, че за целите на обработване на личните данни на субекта на данни съгласно Регламент (ЕС) 679/2016 в хипотезата на чл. 6, § 1, б. „в“ правнорелевантният факт не е съгласие, респ. липса на такова на субекта на данни, а наличие на договор за кредит. Правилни са изводите на съда, че недействителността на сключен договор поради липса на съгласие може да бъде установен само с влязло в сила съдебно решение в съответното исково производство. Не е допустимо КЗЛД в качеството й на административен орган, респ. съдът в рамките на съдебно административно производство инцидентно да се произнася по действителността на сключения договор за потребителски кредит, респ. неговата нищожност, независимо от събраните и приложени данни във връзка с валидността на положения подпис на документите по договора за касатора. Трябва да се посочи, че приложените и цитирани в решението на съда актове на Комисията по други преписки по жалби на касатора са във връзка с обработване на личните данни, разгледани при различни фактически и правни основания. Съдът правилно е обсъдил и приел за правомерни в хипотезата на чл. 6, § 1, б. „в“ от Регламента действията на банковата институция по подаване на информация за кредитната задлъжнялост на страната по договора до доказването по исков път неговата недействителност. По аналогични съображения правилно също е приел, че наличието/липсата на данни за извършено престъпно деяние, съответно наличието/липсата на образувано наказателно производство няма отношение към административноправния спор, тъй като обстоятелствата, които се преценяват в двете производства са различни, както се отличават и субектите, участващи в тях и основанието за ангажиране на отговорността им. Поради това обстоятелството, че досъдебното производство във връзка с данните за престъпно деяние по повод сключването на обсъждания договор не е приключило, е без значение за производството пред КЗЛД за спазване на правилата на Регламент (ЕС) 679/2016 при обработване на личните данни на жалбоподателя от администратора на лични данни. Неоснователни са възраженията в касационната жалба, че съдът не е отчел, че Комисията в нарушение на административнопроизводствените правила е решила спорните въпроси като е игнорирала част от представените документи, респ. без да събере и обсъди релевантните към спора факти. След като преценката за законосъобразното обработване на личните данни на касатора не почива на основанието по чл. 6, § 1, б. “а“ от Регламента – съгласие, респ. отсъствие на такова, същите са неотносими към предмета на правния спор. По същите съображения, съдът като е отхвърлил доказателствените искания в тази насока не е допуснал нарушения на съдопроизводствените правила, както се поддържа в касационната жалба. Съобразно чл. 44, ал. 1 от ЗБНБ съдът е посочил, че при упражняване на правомощията и изпълнение на задълженията си по този закон Българската народна банка, управителят и членовете на управителния съвет са независими и нямат право да искат или да приемат указания от институциите, органите, службите или агенциите на Европейския съюз, от Министерския съвет или от правителствата на други държави – членки на Европейския съюз, както и от други органи и институции, които респ. нямат нямат право да оказват влияние на Българската народна банка, на управителя или членовете на управителния съвет. В конкретния случай съдът е намерил, че БНБ упражнява само надзорни правомощия по отношение на подаването на информация до ЦКР и съгласно чл. 56, ал. 2 от ЗКР не носи отговорност за вреди във връзка със съхраняваната в системата информация, предоставяна от институциите по ал. 1, вкл. банките. Поради това правилно е потвърдил решението на Комисията относно функциите и правомощията на БНБ, разгледани в контекста на Регламент (ЕС) 2016/679 и Закона за защита на личните данни. Комисията не може да упражнява контрол върху дейността на банката при изпълнение на правомощията й на централна банка на Р България и изпълнение на целите й, залегнали в чл. 2 ЗБНБ. Предвид изложеното, обжалваното решение е правилно и следва да се остави в сила. С оглед изхода на спора и направените искания от касационните ответници за присъждане на разноски, касационният жалбоподател А. Д. А. следва да заплати на „Обединена българска банка“ АД сумата 102,25 евро разноски за юрисконсултско възнаграждение, както и на Българска народна банка сумата 102, 25 евро разноски за юрисконсултско възнаграждение, съгласно чл. 143, ал. 3 и 4 АПК вр. чл. 24 от Наредбата за заплащане на правната помощ. Водим от горното, Върховният административен съд, състав на пето отделение,