Решение № 1409 от 10.02.2026 г. на ВАС по адм. д. № 10297/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба от „Виваком България" ЕАД (Виваком), със седалище и адрес на управление в гр. София, представлявано от изпълнителния директор Н. Андреев, подадена чрез пълномощника, юрисконсулт М. Колева, срещу Решение № 17193/ 20.05.2025 г., постановено по адм. д. № 11237/ 2024 г. по описа на Административен съд - София град (АССГ). С касационната жалба се излагат доводи за неправилност на първоинстанционното решение поради нарушения на материалния закон и необоснованост на същото. Претендират се разноски. Ответникът - Комисия за защита на личните данни (КЗЛД) в Писмени бележки, чрез пълномощника М. Райчева, надлежно упълномощена, оспорва касационната жалба и претендира разноски за юрисконсултско възнаграждение. Прави възражение за прекомерност на евентуално претендирани от касатора разноски. Ответниците – А. Я. А., „Вардаров“ ООД и „Велерс“ ЕООД, редовно уведомени, не изпращат представител, не изразяват становище по жалбата. Прокурорът от Върховна касационна прокуратура дава обосновано заключение за неоснователност на касационната жалба. След като взе предвид доводите на страните и прецени установените факти и обстоятелства от първоинстанционния съд, настоящият съдебен състав намира следното: Касационната жалба е процесуално допустима като подадена в срок, от лице с правен интерес, за което обжалваният съдебен акт се явява неблагоприятен. Разгледана по същество, жалбата е неоснователна. Предмет на първоинстанционното производство е било Решение № ППН-02-296/2022 г. на Комисията за защита на личните данни (КЗЛД, Комисията), в частта, в която жалбата на А. Я. А. е призната за основателна по отношение на „Виваком България" ЕАД и на дружеството е наложена „имуществена санкция" в размер на 5000.00 лв. за нарушение на разпоредбата на чл. 32, § 1, б. “г" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, Регламент /ЕС/ 2016/679, Регламент). За да остави без уважение жалбата на Виваком срещу горепосоченото решение на КЗЛД, съдът е приел, че същото е издадено от компетентен орган, спазени са изискванията за форма и съдържание на акта и не са допуснати съществени нарушения на административнопроизводствените правила. Посочил е, че административният орган е уведомил страните за започналото административно производство, предоставил е възможност за изразяване на становище по жалбата и представяне на доказателства, като е събрал исканите от страните доказателства, установил е относимите към спора факти, което е счел, че е потвърдено в хода на съдебното следствие. Решението е валидно, допустимо и правилно. Оспореното пред АССГ Решение на КЗЛД е постановено, след като А. Я. А. е подала в КЗЛД жалба вх. № ППН-02-296/ 03.06.2022 г. срещу „Виваком България" ЕАД, в която е направила оплакване, че на 06.02.2022 г. е установила, че е притежател на два телефонни номера, закупени от нейно име, но без нейно съгласие и знание и без да е подписвала каквито и да е договори и декларации за съгласие за обработка на личните ѝ данни, че се е свързала с оператора, за да разбере какво става, при което служителят обещал обратно обаждане до два часа, но отговор не последвал, поради което подала жалби в център на Виваком, в І РУ на СДВР и в Прокуратурата. На 18.02.2022 г., след напомняне за подадената жалба, получила отговор от Виваком, с който била уведомена, че регистрираните на нейно име две предплатени услуги с номера •••••••••• и •••••••••• били прекратени. С жалбата тя поискала от КЗЛД да установи извършените нарушения на Закона за защита на личните данни (ЗЗЛД) и на Регламент (ЕС) 2016/679, както и да наложи санкция на Виваком, в резултат на което е издадено потвърденото от АССГ решение на КЗЛД. Правилно съдът е отразил, че трите имена и ЕГН на А. А. са „лични данни", тъй като са достатъчни за идентифициране на това лице по аргумент от чл. 4 от Регламент (ЕС) 2016/679/. Събирането, структурирането, записването, употребата и съхранението на личните данни сочи на „обработване на лични данни". Съдът се е позовал на назначената в административното производство експертиза, от заключението по която е установено, че личните данни на А. А. са обработвани без нейно знание и съгласие, което заключение не е било оспорено от страните. Съдът е обсъдил възникналите между трите търговски дружества –„Виваком България" ЕАД, „Вардаров" ООД, и „Велерс" ЕООД правоотношения в резултат на конкретни договори и споразумения, като е приел, че в тези правоотношения "Виваком България" ЕАД действа като администратор на лични данни, а „Вардаров" ООД и „Велерс" ЕООД като обработващи личните данни от името на администратора на лични данни „Виваком България" ЕАД. Съгласно чл. 32, § 1, б. “г" от Регламента администраторът на лични данни прилага подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, чрез процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването, а съгласно § 2 при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Обработващият лични данни осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията и позволява и допринася за извършването на одити, включително проверки, от страна на администратора или друг одитор, оправомощен от администратора. Целта на извършването на проверки от администратора на лични данни е да бъде установено състоянието на техническите и организационни мерки за защита на личните данни, тяхната адекватност и прилагат ли се от обработващия личните данни. При анализ на тези норми съдът е отразил, че в конкретния случай, в Приложение № 2 към допълнителното споразумение от 16.05.2018 г. към договора за обработка на личните данни от 2006 г., от администратора на лични данни са записани технически и организационни мерки за защита на личните данни във връзка с дейността по обработване на личните данни на физически лица за целите на регистрация и активация на предплатени карти, но не е зададен процес на редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационни мерки с цел гарантиране сигурността на данните по отношение на обработващите лични данни – „Вардаров" ООД и „Велерс" ЕООД, както и относно адекватността им и прилагането им от двете дружества. С оглед изложеното е стигнал до извода, че в периода от установяване на задължението - 25.05.2018 г. (датата, от която Регламентът се прилага) до 04.02.2022 г., когато е активирана втората предплатена карта на А. А., Виваком не е изпълнил задължението си за въвеждане на процес за редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационни мерки по отношение на прилагането им и адекватността им, с цел гарантиране сигурността на данните по отношение на обработващите лични данни „Вардаров" ООД и „Велерс" ЕООД. Правилен е изводът на съда, че проверка във връзка с подадената от А. А. жалба е била извършена, но доказателства за проверените обстоятелства не са били представени. Правилно е заключението на съда, че администраторът е този, който осъществява одити и проверки, а обработващият личните данни осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията и позволява, и допринася за извършването на одити и проверки от администратора, разписано като задължение в чл. 28, § 1, б. „з" от Регламента. С оглед изложеното, като е приел решението на КЗЛД, че Виваком е извършило нарушение, като не е изпълнило задължението си по чл. 32, § 1, б. „г" от Регламента, за правилно, съдът е постановил съответен на материалния закон съдебен акт. Правилни са изводите на съда и относно размера на наложената имуществена санкция. В тази връзка са изложени подробни мотиви, които настоящият състав не преповтаря, а препраща към тях на основание чл. 221, ал. 2 от АПК, като ги възприема изцяло. Деянията, довели до неправомерно обработване на личните данни на А. А., са извършени на 19.01.2022 г. и на 04.02.2022 г., когато са регистрирани и активирани две предплатени карти на нейно име. Регламентация на одита и проверките не е представена от администратора на лични данни до приключване на съдебното следствие пред първоинстанционния съд, нито пред касационната инстанция. Неоснователно е възражението на Виваком, че от негова страна не е осъществено неправомерно обработване на лични данни на конкретното лице, което АССГ не бил съобразил. В случая се касае за нарушение на задължението на касатора, свързано с процеса на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването, което нарушение съдът правилно е счел за доказано както по признаци, така и по авторство. При преценката дали приложените от администратора технически и организационни мерки по чл. 32 от Регламента са подходящи, са съобразени от съда рисковете, свързани със съответното обработване, както и че не са установени мерки, които да са съобразени с тези рискове, като резултатът е осъществен достъп до личните данни на А. А. със съответните вредни за нея последици. Нормативното задължение за опазване на личните данни е от пряко приложимия Регламент, който е с примат пред националното право и предвижда в чл. 32, § 1 от Регламента, че като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. В случая нерегламентираното извличане на лични данни е продължило във времето, без администраторът да установи това, а касаторът е разбрал за него, едва след постъпване на жалбата и изискване на доказателства във връзка с установените, издадени без съгласие на лицето, предплатени карти и то два броя, в различни месеци, което безспорно сочи на неизпълнение на цитираните по - горе задължения на администратора на лични данни. Предвид изложеното решението като правилно и законосъобразно следва да бъде оставено в сила. С оглед изхода на спора и изрично направеното искане от процесуалния представител на КЗЛД, приключването на делото в едно съдебно заседание и осъществената правна защита чрез писмени бележки, на КЗЛД следва да се присъди на основание чл. 78, ал. 8 от ГПК, във връзка с чл. 37 от Закона за правната помощ, във връзка с чл. 24 от Наредбата за заплащането на правната помощ юрисконсултско възнаграждение в размер на 200.00 лв. с равностойност 102.26 евро, платимо от касатора. Воден от гореизложеното и на основание чл. 221, ал. 2, изречение първо, предл. първо от АПК, Върховният административен съд, Пето отделение,