Решение № 4384 от 21.04.2026 г. на ВАС по адм. д. № 12184/2025 г.

Производството е по реда на чл. 229 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „Изипей“ АД, чрез адв. М. Иванова срещу решение № 23453 от 08.07.2025г. по адм. дело № 4359/2025г. на Административен съд София - град, поправено с решение № 28267 от 26.08.2025г. по същото дело. С обжалваното решение е изменено Решение № ППН-1-80/2023г. на Комисията за защита на личните данни по жалба на “Изипей“ АД, в частта по т. 6, с която на основание чл. 83, § 5 ,б. „а“, вр. чл. 58, § 2, б. „и“ от ОРЗД е намалена наложената „имуществена санкция“ от 20 000 лева на 10 000 лева и отхвърлена жалбата на “Изипей“ АД в останалата част. В касационната жалба са наведени доводи, че съдебното решение е неправилно поради противоречие с материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – касационни основания по чл.209, т.3 от АПК. Твърди се, че първоинстанционният съд изменил волята на административния орган, като е въвел ново и различно правно основание за ангажиране на отговорността дружеството. По същество твърденията са, че законосъобразно са били обработвани лични данни на лице, което е дало съгласие за това и се е легитимирало надлежно с лична карта. Сочи, че внедрените от дружеството мерки за защита на личните данни са достатъчни и ефективни, като е недопустимо друг орган, освен БНБ, да ги ревизира. Моли за отмяна на съдебното решение и отмяна на административния акт. Претендира разноски по делото. Отната страна - КЗЛД в писмени бележки по делото и в съдебно заседание, чрез юрк. Райчева подържа становище за неоснователност на касационната жалба. Претендира разноски по делото и прави съзражение за прекомерност на адвокатския хонорар. Ответната страна - А. Ш. не изразява становище по касационната жалба. Ответната страна - "Смарти консулт" ООД не изразява становище. Представителят на Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в преклузивния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна. Предмет на оспорване пред АССГ е Решение № ППН - 01 -80/2023 от 26.03.2025г. на Комисията за защита на личните данни, постановено по жалба с peг. № ППН-01-80 от 31.01.2023 г., подадена от А. Ш., съдържаща твърдения за неправомерна обработка на нейни лични данни във връзка с издадена предплатена карта на дата 16.09.2022 г. с наличие на платежна сметка, идентифицирана с уникален идентификатор IBAN № [номер] от “Изипей“ АД. В хода на административното производство е установено, че на 16.09.2022 г. е издадена предплатена Изипей карта № [номер], свързана с IBAN: [номер], съгласно сключен договор № [номер] на името на А. Ш. с [ЕГН]. В хода на административното производство е приета графическа експертиза като според заключението на вещото лице: 1/ ръкописният текст в графа “Оправомощен ползвател“ в Договор за издаване на предплатена карта № [номер] от 16.09.2022 г. представлява изображение на ръкописен текст, който вероятно не е изписан от А. Ш., 2/ подписът в графа “Подпис“ в Договор за издаване на предплатена карта № [номер] от 16.09.2022 г. представлява изображение на подпис, който вероятно не е положен от А. Ш.. По административната преписка са събрани допълнителни доказателства от Дирекция “Български документи за самоличност“ при МВР относно документи за самоличност на А. Ш. - с [ЕГН] и лична карта № [номер] на дата 22.10.2013 г., валидна до 22.10.2023 г. от СДВР. При направено сравнение между данните, които се съдържат в издадената лична карта и тези, които се съдържат в представеното от КЗЛД копие на лична карта е установено, че снимката и данните, с които е издадена личната карта не съответстват на снимката и част от данните от копието на документа, който е предоставен от КЗЛД - различна снимка, подпис, наименование на улица, ръст на лицето и цвят на очите. При така събраните доказателства КЗЛД е приела жалбата на А. Ш. за основателна. Според Комисията прилаганите от “Изипей” АД мерки в насока идентификация и верификация на личните данни на клиенти- физически лица са ненадлежни, неефективни и неадекватни, поради което мерките не са „подходящи“ по смисъла на Регламента. КЗЛД е приела, че в хода на производството дружеството не е представило доказателства, че обработва личните данни на жалбоподателката съобразно принципите за цялост и поверителност, от което следва извод за нарушение и на чл. 5, § 2 от Регламента- принципа на отчетността. За установеното нарушение на “Изипей” АД са дадени предписания да въведе подходящи технически и организационни мерки за защита на личните данни при идентифициране на клиенти – физически лица в контекста на сключване на договори за предплатени карти и да ограничи обработката на личните данни на жалбоподателката само за целите на спазване на задълженията, които изискват обработване. На дружеството е наложена и имуществена санкция в размер на 20 000 лв. За да отхвърли жалбата на „Изипей“ АД срещу Решение № ППН-1-80/2023 г., от 26.03.2025г. на КЗЛД, в частта, в която е установено нарушение на ОРЗД, АССГ е установил, че личните данни на А. Ш. са обработени без нейно знание и съгласие, против волята й. Според АССГ при обработването на данните са били нарушени принципите чл. 5, § 1 на Регламент 2016/679 личните данни да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност"). По отношение на „Изипей“ АД съдът установил, че е ангажирана отговорността в качеството на администратор на лични данни за това, че не са налице данни за прилагани подходящи технически и организационни мерки за защита на личните данни по повод идентификацията на клиенти - физически лица в контекста на процедура по сключване на договори за предплатени карти и в частност, такива които са насочени към установяване на самоличността на клиента - физическо лице и проверката на представените от него данни. Предвид факта, че е издадена предплатена карта за която от страна на третото лице няма съгласие, съдействие или искане до администратора, следва единствения извод, че обработването на личните му данни без правно основание е незаконосъобразно. АССГ констатирал липсата на доказателства за надлежно, ефективно извършени действия по идентификация на лицето, за липса на последващ контрол върху такива действия, все задължения на администратора на лични данни. Неизпълнението на задължението за идентификация на лицето, чиито данни се обработват крие редица рискове, като загуба на контрол над данните, кражба на идентичност, настъпване на имуществени и неимуществени вреди и др. Тези негативни последици биха били избегнати, ако администраторът на лични данни беше изпълнил задълженията си, да извършва редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационните мерки, за да се гарантира сигурността на обработването. Администраторът и обработващият лични данни следва да прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност. Извършването на такава оценка на риска има за цел да гарантира сигурността и да се предотврати обработване, което е в нарушение на Регламент (ЕС) 2016/679. Няма данни такива регулярни оценки на риска да са извършвани от „Изипей“ АД. С оглед изложеното съдът приел, че „Изипей“ АД е нарушило разпоредбата на чл. 5, § 1, буква е) и § 2 от Регламент (ЕС) 2016/679 като е обработило личните данни на А. Ш. в противоречие с принципите на цялостност и поверителност и на отчетност. Съдът изцяло е възприел становището на КЗЛД, че най-подходяща и целесъобразна е мярката по чл. 58, § 2, б. г" от Регламент (ЕС) 2016/679, съгласно който всеки надзорен орган има всички от посочените по-долу корективни правомощия: да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. По отношение на наложената санкция от 20000 лева на „Изипей“ АД, АССГ приел, че формално са налице мотиви, но реално не е взето предвид, че липсват на данни за претърпени вреди в резултат на нарушението, а и с оглед наличието на мерки за идентифициране на клиентите (система RegiX) санкцията, наложена на „Изипей“ АД следва да бъде намалена на 10000 лв. Така постановеното съдебно решение е валидно, допустимо и правилно. Административен съд София град е установил вярно фактическите обстоятелства и правилно е приложил релевантните правни норми. Не е допуснал съществено нарушение на съдопроизводствените правила, събрал относимите към спора доказателства и не е допуснал нарушения при анализа им. Изводите на първоинсанционният съд се споделят изцяло поради което на осн. чл. 221, ал. 2 от АПК. Съгласно чл. 4, § 1 от Регламент (ЕС) 2016/679 „лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Цитираната разпоредба не въвежда изискване за пълнота на всички индивидуализиращи белези, а точно обратното – достатъчно е само един от идентифициращите елементи /изр. 2 от чл. 4, § 1/. Съгласно чл. 4, § 2 от Регламент (ЕС) 2016/679 „обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В разпоредбата на чл. 4, § 7 от Регламент (ЕС) 2016/679 се определя, че администратор на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с друг определя целите и средствата за обработване на лични данни, когато целите и средствата за това обработване се определя от правото на съюза или правото на държавата членка. В т. 8 от Регламента е записана и дефиницията на „обработващ лични данни“, а именно: „физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора“. В този смисъл, за да носи отговорност едно лице за обработване на личните данни на друго лице в нарушение на ЗЗЛД и Регламент 2016/679, то лицето използващо неправомерно данните следва да има качеството „администратор“ или „обработващ лични данни“. По аргумент от чл. 5, § 2 от Регламент (ЕС) 2016/679 администраторът на лични данни носи отговорност за спазването на принципите при обработването на личните данни. Изцяло се споделя извода на първоинстанционният съд, че е „Изипей“ АД е нарушило разпоредбите на чл. 5, § 1, буква е) и § 2 от Регламент (ЕС) 2016/679, като е обработило личните данни на А. Ш. в противоречие с принципите на цялостност, поверителност и отчетност. Неоснователно е в тази връзка касационното оплакване за подмяна на фактическите и правни основания, установени от административния орган от административния съд. Видно от Решение № ППН-1-80/2023 г., постановено на 26.03.2025 г. от Комисия за защита на личните данни отговорността на дружеството е ангажирана на основание на чл. 5, § 1, буква е) и § 2 от Регламент (ЕС) 2016/679. В тази насока са и приложените корективни мерки по чл. 58, § 2, б. г" от Регламент (ЕС) 2016/679 администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. Не е налице и подмяна на установената от КЗЛД фактическа обстановка. По административната преписка, а и по делото е установено, че А. Ш. е различно лице от А. Ш.. Безспорно също така се установява, че последната е ползвала лична карта с № [номер] издадена на дата 22.10.2013 г., валидна до 22.10.2023 г. от СДВР, в която е вписано [ЕГН] /на Ш./, за която лична карта е направено предположение, че е неистинска или подправена. По този начин са обработвани лични данни на А. Ш. без нейно съгласие и като цяло без наличието на нито една от предпоставките по чл. 6 от ОРЗД. При тази фактическа обстановка се е произнесла КЗЛД, възприета и обсъдена изцяло от АССГ. Неоснователно е и оплакването, че законосъобразно са били обработвани лични данни на лице, което е дало съответното съгласие за това и се е легитимирало надлежно с лична карта. От административната преписка, а и първоинстанционното дело се установява, че трето лице е използвало частично лични данни на Ш. за да получи предплатена карта на дата 16.09.2022 г. с наличие на платежна сметка, идентифицирана с уникален идентификатор IBAN № [номер] от “Изипей“ АД. Без правно значение за настоящият случай е както правилно е отбелязал АССГ, дали става въпрос за извършване на престъпление – използване на „фалшив“ документ – лична карта. При разглеждане на жалба за нарушение при обработване на лични данни, от КЗЛД не се преценява има ли извършено престъпление и кой е неговият извършител, а дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това, взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. Неоснователни са и претенциите на касатора, че е внедрил ефективни и достатъчни мерки за защита на личните данни, които са приети и одобрени от друг вид контролен орган. От данните по делото се установява точно обратното. На л. 61-64 от адм. д. № 4359/2025г. е приложена процедура по издаване на предплатена „Изипей“ карта. В т. 4 от процедурата е разписано как точно се идентифицира клиента и проверява идентификацията. Обобщено казано когато се касае за средства под прага на чл. 11, ал. 1, т. 4 от ЗМИП не се прикачва снимка на документ за самоличност /лице и гръб/, проверява се валидността на документа за самоличност и попада ли лицето в забранителни и ограничителни списъци, и се проверява номера на документа, дата на издаване, ЕГН. От данните по делото се установява, че по Изипей карта № [номер], свързана с IBAN: [номер], на името на А. Ш. с [ЕГН]; на 19.09.2022 г. е изплатен паричен превод в брой на лице А. Ш. с [ЕГН], нареден от търговец “ЮтеКредит България” ЕООД в размер на 1500 лв., удостоверено с разписка № 0700016671734076; на 20.09.2022 г. е изплатен паричен превод в брой на лице А. Ш. с [ЕГН], нареден от търговец “Кредито” ООД в размер на 800 лв., удостоверено с разписка № 0700016677800160; на 20.09.2022 г. по предплатена Изипей карта, свързана с посочената по- горе сметка, е получен паричен превод в размер на 750 лв., нареден от търговец “Микро кредит“ АД, който е усвоен с няколко трансакции чрез ATM устройство (банкомат); на 23.09.2022 г. по предплатена Изипей карта, свързана с посочената по- горе сметка, е получен паричен превод в размер на 1500 лв., нареден от търговец “Мъни Плюс Мениджмънт” АД, който е усвоен с няколко трансакции чрез АТМ устройство (банкомат). Касае се за суми под прага на чл. 11, ал. 1, т. 4 от ЗМИП. В същото време по административната преписка и по делото са представени като доказателства писмо от Министерство на електронното управление, съгласно което към дата 16.09.2022 г. “Изипей“ АД има осигурен достъп до “Регистър български документи за самоличност“ за следните справки: за документ за самоличност на български граждани по номер на документи и за лице по документ самоличност съобразно Заповед № ДАЕУ-16722 от 01.09.2020 г. Уточнява, че в “Регистър български документи за самоличност“ има три вида справки: 1/ справка за български лични документи на български граждани; 2/ разширена справка за български лични документи на български граждани и чужденци и 3/ справка за документ за самоличност на български гражданин по номер на документ. Според представените ДБДС–МВР и Министерството на електронното управление данни за съдържанието на справките се установява, че всяка една от справките /по-горе 1,2,3/ съдържа освен останалите данни на документа за самоличност и снимка на лицето и подпис на лицето. Предвид така установените факти и посочените доказателства се налагат следните изводи: 1/ мерките за защита на личните данни и идентификация на клиенти са недостатъчни, неадекватни и неефективни; 2/ обработващият данни „Смарти консулт“ ООД от името на администратора „Изипей“ АД не е изпълнил задълженията като цяло за обработването на личните данни съобразно указанията на администратора, за което последният отговаря по арг. от чл. 5, § 2 от ОРЗД. Отделно от това следва да бъде съобразено, че на дата 16.09.2022 г. е осъществен достъп до “Регистър български документи за самоличност“ от “Изипей“ АД с четири справки: 1/ в 17:09:35 часа - справка за български лични документи на български граждани, 2/ в 17:09:35 часа - справка за документ за самоличност на български гражданин по номер на документ, 3/17:09:48 часа - справка за български лични документи на български граждани и 4/ 17:09:48 часа - справка за документ за самоличност на български гражданин по номер на документ. Видно от представения договор за издаване на предплатена карта, същият е генериран от системата на 16.09.2022г. в 17:09:46 часа, следователно справките относно проверка на данните на физическото лице са извършени едва след генериране на договора, което подкрепя доводите на КЗЛД за допуснатото нарушение и ненадлежно идентифициране на лицето, довело и до незаконосъобразност на обработка на данните. Конкретни доводи, относно изводите на АССГ по приложените корективни правомощия на КЗЛД по чл.58, §2 от Регламента и наложената имуществена санкция не са изложени в касационната жалба. Настоящата съдебна инстанция намира, че при извършен анализ на критериите по чл.83, §5 от Регламент (ЕС) 2016/679, АССГ е стигнал до правилен извод, че целта на закона би могла да бъде постигната чрез налагане на имуществена санкция от 10 000лв., която ще има възпиращ и дисциплинаращ ефект, поради което я е намалил от 20000лв. Решението като правилно постановено при липсата на посочените в касационната жалба основания за отмяна, следва да бъде оставено в сила. При този изход на спора в полза на касационният ответник се следват разноски за юрисконсултско възнаграждение, които съдът определя в размер на 102 евро на осн. чл.78, а.8 ГПК и чл. 25, ал. 1 от Наредбата за заплащане на правната помощ. Воден от горното на основание чл.221, ал.2 от АПК, Върховният административен съд, Пето отделение