Решение № 10108 от 14.10.2026 г. на ВАС по адм. д. № 2742/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба, подадена от „Юробанк България“АД, чрез процесуален представител, срещу решение №211/05.01.2026г., постановено по адм.д. №876/2025г. на Административен съд София-град /АССГ/.

С обжалваното съдебно решение е отхвърлена жалбата на „Юробанк България“АД срещу Решение №ППН-01-863-1/2020 от 14.10.2024г. на Комисия за защита на личните данни /КЗЛД/, с което КЗЛД:

1. Обявява жалба с рег.№ППН-01-863/03.12.2020г., подадена от А. Д. А. срещу „Юробанк България“АД -администратор на лични данни за основателна, за извършено нарушение на чл.5, §1, б. „а“ предл. първо, във вр. с чл.6, §1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД, Регламента), за това, че обработвайки данните на А. във вр. с договор за потребителски кредит от 07.08.2020г., дружеството „Юробанк България“АД е нарушило принципът за законосъобразно обработване на лични данни, доколкото липсва правно основание за обработването им.

2. На осн. чл.58, §2, б. „г“ от Регламент (ЕС) 2016/679, за нарушение на чл.5, §1, б.“а“, предл. 1 от Регламента, разпорежда на „Юробанк България“АД да ограничи обработването на лични данни на жалбоподателя единствено за целите на досъдебни, съдебни и административни производства, както и за изпълнение на законоустановените задължения на администратора. Разпорежда на администратора да въведе процедури относно ограничаване обработването на лични данни и да прегледа вътрешните правила от гледна точка на това кога и при какви условия банката, в качеството на добросъвестен администратор, може и следва да ограничи обработването на лични данни за определен период от време или за определени цели, особено в ситуациите, когато доказателствата сочат за извършени престъпления или други недобросъвестни действия, съобразно мотивите на решението.

3. Срок за изпълнение на издаденото разпореждане- едномесечен от влизане на решението в сила, след което администратора да уведоми комисията за изпълнението, като представи съответните относими доказателства.

4. На осн. чл.58, §2, б. „и“ от Регламент (ЕС) 2016/679 за нарушение на чл.5, §1, б.“а“, предл. 1 от регламента, налага на „Юробанк България“АД имуществена санкция в размер на 10000 лева.

Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон и необоснованост – отменително основание съгласно чл.209, т.3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба и в СЗ. Претендира разноски. В молба становище излага съображения за недопустимост, евентуално неоснователност на искане от Д. до касационната инстанция за отправяне на преюдициално запитване до СЕС.

Ответната страна- Комисия за защита на личните данни /КЗЛД/, чрез процесуален представител оспорва касационната жалба. Съображения излага в СЗ и в писмени бележки. Моли касационната жалба да се отхвърли като неоснователна. Претендира разноски. Прави възражение по чл.78, ал.5 ГПК. В писмен отговор изразява становище за неоснователност на направеното от Д. до касационната инстанция искане за отправяне на преюдициално запитване до СЕС.

Ответната страна- А. Д. А., желае решението на АССГ да бъде отменено по съображения, изложени в писмен отговор на касационната жалба, да се отмени Решение №ППН-01-863-1/2020 от 14.10.2024г. на Комисия за защита на личните данни, и делото да се върне на АССГ за разглеждане от друг състав. Не претендира разноски.

Иска отправяне на преюдициално запитване до СЕС, с предложени преюдициални въпроси в писмена молба вх.№ 10464 от 14.04.2026г.:

1.Следва ли чл.47 от Хартата на основните права на Европейския съюз, чл.77-79 и чл.57-58 от Регламент (ЕС) 2016/679 да се тълкуват в смисъл, че национален надзорен орган и национален съд могат, по съображения за процесуален формализъм или инстанционни ограничения да откажат да разгледат по същество изрично наведено оплакване за повтаряемо или продължаващо нарушение, когато същият администратор вече е бил санкциониран с влязъл в сила акт за идентично или сходно нарушение?

2.Допустимо ли е „пълният съдебен контрол“ по чл78, §1 GDPR /ОРЗД/ да се сведе до формална проверка, без да бъдат обсъдени всички релевантни и обективно установени факти, имащи значение за ефективността на защитата на субекта на данни?

Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба и липса на сочените от А. А. основания за отправяне на преюдициално запитване по реда на чл.267 ДФЕС и чл.268 ГПК до СЕС.

Настоящият състав на Върховния административен съд, пето отделение, приема, че касационната жалба е подадена в срока по чл.211, ал.1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна.

За да постанови обжалваното решение съдът е приел, че оспорения акт е издаден от компетентен орган, в предвидената от закона форма, при спазване на административно производствените правила, в съответствие с материалноправните разпоредби и с целта на закона, при очертан от съда предмет на спора по делото - осъществени ли са елементите от фактически състав на вмененото на жалбоподателя нарушение, изразено в незаконосъобразна обработка на лични данни на А. в контекста на действията по идентификация на подписалото договора за банков кредит лице.

Съдът е приел за съответни на материалноправните разпоредби и на доказателствата съжденията на надзорния орган за осъществено от „Юробанк България“АД в качеството му на администратор на лични данни неправомерно обработване на личните данни на А. А. по повод подписването на договор за потребителски кредит.

АССГ е приел за безспорен факта на отпускане на кредит на 07.08.2020г., и обработването в тази връзка на лични данни на А., както и за безспорно доказано по делото, че субекта на данни не е подписвал договора за потребителски кредит, като сключването му е станало без негово знание и съгласие, поради което обработването на данните му от дружеството е лишено от правно основание.

Според АССГ отговорността на администратора на лични данни не зависи от това дали негов служител е съзнавал или не, че липсва съгласие на клиента да сключи договор за кредит и дали друго физическо лице се е представило за него, или служителят на „Юробанк България“АД е бил наясно, че съответните документи не са подписани от соченото за кредитополучател лице.

Съдът е счел, че дружеството не е положило дължимата грижа за надлежна идентификация на подписалия процесния договор, за когото твърди, че се е легитимирал с личната карта на засегнатото лице, и бидейки администратор на лични данни дружеството носи отговорност за неправомерното им обработване без съгласието на субекта на лични данни.

АССГ е посочил, че с влязло в сила решение №1130/07.03.2023г. по гр.д.№2970/2022г. по описа на СГС са отхвърлени предявените от „Юробанк България“АД искове срещу А. Д. А., и по окончателен и обвързващ начин е разрешен въпроса за неавтентичността на спорния договор и отсъствието на валидно възникнало правоотношение между банката и вписаното за кредитополучател физическо лице.

Съдът е достигнал до извод, че липсата на годно правно основание за обработване личните данни на А., по което е формирана сила на пресъдено нещо, обуславя съществуването на материалноправните предпоставки на отговорността по чл.5, §1, б.“а“ във вр. с чл.6, §1 от Регламента.

По отношение санкциите за извършеното нарушение съдът е приел, че разпоредените от комисията ПАМ са обосновани и съответни на целта на закона, като упражненото от надзорния орган корективно правомощие кореспондира с предвидената в чл.58, §2 б.“г“ от регламента мярка, като при санкционирането на дружеството КЗЛД е отчела условията по чл.83, §2 от Регламента и особеностите на конкретния случай.

Решението на АССГ е правилно.

По делото не е спорно, че „Юробанк България“АД, в качеството й на администратор на лични данни, е обработвал по см. на чл.4, §2 ОРЗД, чрез множество операции лични данни (три имена, адрес, ЕГН, номер на лична карта, изображение /копие/ на лична карта, данни относно дохода, работодател и местоработата, кредитна задлъжнялост и др.) на А. А. при инициирана и проведена процедура по кандидатстване, одобрение, сключване на договор за потребителски кредит №FL1109619 от 07.08.2020г.

От приетите по делото доказателства (неоспорени от страните) се установява, че на документите - част от горепосочената процедура, подписите в съответните графи в тези документи не са изпълнени/положени от субекта на данни А. Д. А..

При тези факти законосъобразен е извода на първостепенния съд, че в конкретния казус в хода на проведената и посочена по-горе процедура, администраторът на лични данни „Юробанк България“АД е обработвал лични данни на лицето А. Д. А.- субект на данни по см. на чл.4, §1 ОРЗД, при нарушаване на разпоредбите на Регламент (ЕС) 2016/679 от администратора на лични данни „Юробанк България“АД, а именно на принципа за законосъобразност (чл.5, §1, б.“а“, предл. първо ОРЗД), без да е изпълнено условието за законосъобразност на обработването, регламентирано в чл.6, §1, б. „а“ от Регламента- субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели.

Липсата на съгласие от субекта на данни за обработване на неговите лични данни в хода на процесната процедура по отпускане и усвояване на кредит за текущо потребление означава изключване и на хипотезите за законосъобразно обработване на лични данни, посочени в б. „б“ и “в“ на §1, чл.6 ОРЗД.

Горното обосновава необходимостта надзорния орган да приложи корективните правомощия по чл.58 §2, б.„г“ и б.“и“ ОРЗД, съобразявайки особеностите на конкретния случай, спрямо администратора на лични данни, което в настоящия казус е сторено чрез разпореждане администратора на лични данни да съобрази операциите по обработване на данни с разпоредбите на настоящия регламент по указан в решението на надзорния орган начин и в определен от него срок, както и чрез налагане на имуществена санкция на „Юробанк България“АД.

С оглед разпоредбата на чл.83, §5, б.“а“ ОРЗД надзорния орган в случая е спазил гаранциите за пропорционалност, ефективност и възпиране, определяйки размера на имуществената санкция на 10000 (десет хиляди) лева при разглеждане на елементите, посочени в чл.83, §2, б. „а“-„к“ от Регламента, като съображенията на надзорния орган са подробни, съобразени със спецификата на случай предвид установените в хода на производството пред надзорния орган факти, и са изложени в мотивите на Решение №ППН-01-863-1/2020 от 14.10.2024г., както правилно е приел първоинстанционния съд.

Неоснователни са доводите в касационната жалба. Обстоятелството, че опущението, допуснато от „Юробанк България“АД по отношение обработването на лични данни на клиент на банката, има за резултат неблагоприятни последици за тази институция, е неотносимо към релевантния за спора факт, че касатора в хода на съдебното производство не опровергава с относимите и допустими доказателствени средства извършеното от него нарушение на ОРЗД.

По отношение възраженията на касатора в частта, относно упражнените корективни правомощия на надзорния орган по чл.58, §2, б.“г“ ОРЗД, следва да се отбележи, че предоставеното от ОРЗД правомощие на надзорния орган да разпореди на администратора на лични данни да съобрази операциите по обработване на данни с разпоредбите на Регламента, свързано с избрания от надзорния орган начин и срок, касае преценка на органа по целесъобразност, поради което не подлежи на съдебен контрол.

По отношение вида и размера на наложената санкция, настоящият състав препраща на осн. чл.221, ал.2, изр. второ АПК към мотивите на първоинстанционния съд, с допълнение, че предвид установените факти по делото и поведението на администратора на лични данни, свързано с елементите, посочени в чл.83, §2, б. „б“, „в“ и „г“ ОРЗД, и наличието на смекчаващи обстоятелства, размера на наложената имуществена санкция от надзорния орган не само е в размер, клонящ значително към възможния минимум, но и мотивите на надзорния в това отношение са подробни и изчерпателни, поради което размерът на наложената санкция не може да се възприеме като необоснован.

Решението на първата инстанция е обосновано. Изводите на съдебния състав кореспондират със събраните по делото доказателства и са формирани след тяхната правилна преценка.

Доводите на ответната по касация страна А. А. за отмяна на благоприятното за него съдебно решение предмет на инстанционен контрол, не се обсъждат предвид целта за постигане на Reformatio in peius спрямо касатора.

По отношение искането за отправяне на преюдициално запитване до СЕС:

Касационният съдебен състав намира, че с оглед формулираните въпроси, посочени по-горе, и предвид предмета на правния спор няма основание за отправяне на преюдициално запитване по реда на чл. 267 ДФЕС и чл. 628 ГПК, вр. с чл. 144 АПК до Съда на Европейския съюз.

В случая искането е обосновано от съществуваща според искателя неяснота на разпоредби от ХОПЕС и ОРЗД, във вр. правомощия на надзорен орган или национален съд в съответните производства, вкл. в рамките на съдебния контрол при упражнено право на ефективна съдебна защита срещу отнасящо се до него решение със задължителен характер на надзорен орган.

Съгласно разпоредбата на чл. 628 от Гражданския процесуален кодекс съдът прави запитване до Съда на Европейския съюз, когато тълкуването на разпоредба от правото на Европейския съюз е от значение за правилното решаване на делото. Анализът на нормата, както и на разпоредбата на чл. 629, ал. 3 от ГПК налага извода, че запитване може да бъде направено при неяснота относно тълкуването на приложимите разпоредби на правото на Европейския съюз, относими към конкретния правен спор. Преюдициалното запитване следва да има за предмет тълкуване на конкретна общностноправна норма в контекста на определена националноправна уредба, за да се установи въз основа на това тълкуване противоречието на националното право с норми на европейското право. Последицата от същото ще е неприлагане на противоречащата националноправна уредба по конкретното дело.

В процесния случай формулираните въпроси от искателя А. не касаят установяване противоречие на националното право с норми на европейското право /такова противоречие изобщо не е посочено и обосновано от искателя в двата поставени въпроса /, а се иска тълкуване от СЕС на правни въпроси, въведени за решаване съответните производства, по които според А. надзорния или съдебния орган биха достигнали до неправилни изводи в постановените от тях актове, в частност в акта на АССГ, предмет на контрол от настоящата инстанция.

На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл.209, т.3 от АПК, поради което същото трябва да бъде оставено в сила.

Предвид изхода на спора и с оглед на факта, че ответната страна КЗЛД е представлявана от юрисконсулт в съдебното производство и заявената от него претенция, на основание чл.143, ал.3 от АПК вр. чл.24 НЗПП на този ответник следва да се присъдят разноски- юрисконсултско възнаграждение определено в размер на 200 евро.

По изложените съображения и на основание чл.221, ал.2 АПК, Върховният административен съд, пето отделение