Решение № 3662 от 01.04.2026 г. на ВАС по адм. д. № 477/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Постъпила е касационна жалба с вх. № 28340/14.11.2025 г. от „Виваком България“ ЕАД с ЕИК 831642181, чрез юрк. М. Колева срещу решение № 35002 от 24.10.2025 г., постановено от Административен съд София-град (АССГ) по адм. дело № 5603/2025 година. Излагат се подробни доводи за неправилността на оспореното решение, поради противоречието му с материалния и процесуалния закон, с целите на закона и за необосноваността му. Претендира се заплащане на юрисконсултско възнаграждение. Ответникът по касационната жалба – Комисия за защита на личните данни, не представя отговор в законоустановения срок. Такъв е постъпил на 25.02.2026 г., като с него е поискано да се отхвърли жалбата като неоснователна и да се остави в сила първоинстанционното решение. Претендира заплащане на юрисконсултско възнаграждение. Прави възражение за прекомерност. Ответникът по касационната жалба – К. Н. Н., не представя отговор. Прокурорът по делото представя писмено заключение, че жалбата е процесуално допустима, но по същество същата е неоснователна, доколкото не са налице касационни основания по чл. 209, т. 3 от АПК. След като съобрази доводите на страните и приетото за установено от фактическа и правна страна от първоинстанционния съд, настоящата съдебна инстанция намира следното: Производството пред АССГ е било образувано по жалба на „Виваком България“ ЕАД срещу Решение № ППН-01-251/2024 г. от 27.03.2025 г. на Комисията за защита на личните данни /КЗЛД/, с което на основание чл. 38, ал. 3 и чл. 10, ал. 1 ЗЗЛД във връзка с чл. 57, § 1, б. "е" от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) жалба с peг. № ППН-01-251/21.03.2024 г., подадена от К. Н. срещу „Виваком България“ ЕАД е обявена за основателна; за нарушение на чл. 6, § 1 във вр. с чл. 32, § 1 б. "б" от Регламента и на основание чл. 58, § 2, буква "г", е наложена корективна мярка на администратора да направи оценка на риска и да предприеме организационни и технически мерки за предотвратяване такъв вид допуснати нарушения; за нарушение по чл. 6, § 1 от Регламент (ЕС) 2016/679 на осн. чл. 58, § 2, б. "и" във вр. с чл. 83, § 5 от Регламент (ЕС) 2016/679 е наложена на администратора „Виваком България“ ЕАД имуществена санкция в размер на 10000 лева. В решението на КЗЛД е определен срок за изпълнение на издаденото разпореждане - едномесечен от влизането на решението в сила, след което да се уведоми комисията за изпълнението, като представи съответните относими доказателства. От своя страна административното производство пред КЗЛД е образувано по жалба на К. Н., заведена в КЗЛД на 21.03.2024 г. с изложени оплаквания, че при заплащане на месечна фактура при „Виваком България“ ЕАД установила, че без съгласието ѝ е вписана като страна в тристранно споразумение между оператора и Т. Д. в качеството на заместван абонат, без да се е съгласявала с това, както и без да е дала съгласие за използване на личните й данни. С писмо изх. № ППН-01-251/2024 г. #4 на КЗЛД, касационният жалбоподател „Виваком България“ ЕАД е уведомен за образуваното производство и му е предоставена възможност да изрази писмено становище по жалбата, както и да представи доказателства. В депозираното на 03.07.2024 г. писмено становище, „Виваком България“ ЕАД е посочило, че причината за погрешното поместване на личните данни на К. Н. в тристранното споразумение между И. Г., Т. Д. и „Виваком България“ ЕАД е техническа грешка на служител на дружеството. Тристранното споразумение било върнато от И. Г., която подписала декларация за неразкриване на лични данни. На К. Н. била предоставена компенсация от три месечни абонамента и било открито дисциплинарно производство срещу служителя, допуснал грешката. Към становището са били представени следните документи: Договор за услуга с номер [номер] на К. Н.; Договор за смяна на собственост на услуга с номер [номер] с данните на К. Н. и на И. Г.; Договор за услуга с номер [номер] на И. Г.; Заповед за налагане на дисциплинарно наказание от 11.06.2024 г.; Декларация на И. Г. за неразкриване на лични данни. Други доказателства не са били представяни, нито са направени допълнителни доказателствени искания. С писмо изх. № ППН-01-251/2024 г. #10 от 19.09.2024 г. КЗЛД предоставила на К. Н. възможност да се запознае с материалите по преписката и ѝ е указано, че има възможност да ангажира допълнителни доказателства в подкрепа на твърденията си. На 18.12.2024 г. е проведено заседание на КЗЛД, за което страните в административното производство са били редовно уведомени, но не са се явили лично или чрез представител в заседанието. В рамките на последното жалбата на К. Н. е разгледана по същество и е взето решение на основание чл. 83, § 5, буква "и" от Общия регламент за защита на личните данни, с което е наложена на дружеството, в качеството му на администратор на лични данни, имуществена санкция в размер в размер на 10 000 лв. за нарушение на чл. 6, § 1 от Регламента и на основание чл. 58, § 2, буква "г" за нарушение на чл. 6, § 1 от Регламента е приложена корективна мярка като е дадено предписание „Виваком България“ ЕАД да направи оценка на риска и предприеме организационни и технически мерки за предотвратяване на допуснатите нарушения. Решението е обективирано в Протокол № 54/18.12.2024 г., което по-късно е пренесено в нарочен документ - Решение № ППН-01-251/2024 г. от 27.03.2025 г. на Комисията за защита на личните данни /КЗЛД/, което от своя страна е било връчено на страните. В жалбата си до АССГ касационният жалбоподател – „Виваком България“ ЕАД е изложил доводи, че решението на КЗЛД е незаконосъобразно, доколкото е издадено при неправилно приложение на материалния закон и допуснати съществени нарушения на административнопроизводствените правила. Административният орган не бил отчел, че към К. Н. и И. Г. били извършени компенсации, както и че срещу служителя, извършил нарушението било открито дисциплинарно производство и наложено дисциплинарно наказание "забележка". Административният акт бил издаден в нарушение на принципа по чл. 35 от АПК за издаване на административния акт след изследване на всички факти и обстоятелства, които са от значение за случая, доколкото административният орган не е изискал допълнителни доказателства във връзка с извършена оценка на риска, нито с предприетите мерки за защита. Акцентирано е, че неоснователно от настъпилото събитие КЗЛД е направила извод, че предприетите мерки за защита са достатъчни без собствен анализ. Риск базираният подход показвал ниска степен на риск от настъпване на вредоносни последици. Твърди, че наложената имуществена санкция била определена незаконосъобразно, а именно, че били обработени нечувствителни лични данни и били предприети корективни мерки. В хода на съдебното производство пред първата инстанция са събрани допълнително следните писмени доказателства, приложени към жалбата до АССГ на „Виваком Бълария“ ЕАД: Кредитно известие и фактура на К. Н.; Кредитно известие и фактура на И. Г.; Оценка на риска във връзка с дейност по обработване на лични данни от служители при директна работа с клиенти в търговски обекти, с последна актуализация на документа – 30.01.2024 година. Първоинстанционният съд е оставил жалбата срещу решението на КЗЛД на „Виваком България“ ЕАД без уважение, доколкото е същото е постановено от компетентен орган, в предписаната от закона форма, при спазване на административнопроиводствените правила, в съответствие с материалния закон и при спазване на целта на закона. Същият е приел, че в случая е констатирано, че не са предприети действия от страна на „Виваком България“ ЕАД за спазването на изискванията, въведени в чл. 5, §1 от ОРЗД, гласящ, че личните данни следва да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните ("законосъобразност, добросъвестност и прозрачност"); събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели ("ограничение на целите"); подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват ("свеждане на данните до минимум"); точни; съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; ("ограничение на съхранението"); обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). Приел е за неоснователно възражението на „Виваком България“ ЕАД, че административният орган не е изискал представяне на извършена оценка на риска, нито е отправено искане за допълнителни доказателства във връзка с предприетите мерки за защита, предвид обстоятелството, че жалбоподателят е бил уведомен за образуваното производство, двукратно му е указана възможността да ангажира доказателства, но такива не са представени нито с административната, нито в съдебната фаза на производството. Предвид това, според АССГ, правилно с оглед установеното нарушение административният орган е упражнил корективните правомощия по чл. 58, пар. 2 от Регламент (ЕС) 2016/679. Освен това, според първоинстанционният съд, КЗЛД правилно е приела, че предвид естеството, тежестта и последиците от нарушението, най-целесъобразна и ефективна мярка би била имуществената санкция, освен корективните правомощия по чл. 58, пар.2 от ЗЗЛД. Като нейният размер от 10000 лева е определен при съобразяване на обстоятелството, че дружеството не попада в определението за малко и средно предприятие, както и че приходите на дружеството към 31.12.2022 г. са 1165 милиона лева, както и други подробни мотиви, които обосновават ефективност, целесъобразност и пропорционалност на мярката спрямо констатираното нарушение. Решението е валидно и допустимо, но е частично неправилно. Действително, може да се сподели виждането на касатора (но не напълно), че при обосноваването на решението на АССГ в частта относно преценката на определения размер на имуществената санкция от 10 000 лева (5112, 92 евро), първоинстанционният съд не е взел предвид следните смекчаващи обстоятелства, които са били установени по делото: наличието на действаща към момента на извършването на нарушението Оценка на риска във връзка с дейността по обработване на лични данни от служители при директна работа с клиенти в търговски обекти, с последна актуализация на документа – 30.01.2024 година. Макар това да е така, наличието само на това смекчаващо обстоятелство, в сравнение с другите отегчаващи обстоятелства, които са взети предвид от съда и от административния орган (администраторът не е предприел своевременни мерки за предотвратяване на нарушението или за неговото своевременно прекратяване, изразяващо се в преустановяване на възможността личните данни на субекта на данните да достигнат до знанието на трети лица; констатираното нарушение не е първо за администратора на личните данни; в резултат на намесата на администратора на личните данни, отрицателните последици по отношение на правата на субекта на данните са се проявили, отколкото биха могли да имат без тази намеса; разпространени са трите имена, ЕГН и адреса на субекта на данни, които спомагат пряко същата да бъде идентифицират; нарушението е станало известно първо от субекта на данните лично и втори път от КЗЛД по повод на подадената от нея жалба, тоест инициативата е за поправянето му е била „външна“; на администратора са налагани мерки по чл. 58, § 2 от ОРЗД в други случаи; към момента на извършването на нарушението няма одобрени кодекси за поведение), не би могло да рефлектира върху целесъобразността, ефективността и пропорционалността на наложеното наказание (имуществена санкция). Налице е значителен превес на отегчаващите спрямо смекчаващите обстоятелства. От своя страна самият факт, че са били предприети действия по ограничаване на обработването след извършване на нарушението, като въпросната мобилна услуга е била прехвърлена на И. Г. и че същата е донесла в магазин на касатора, екземпляр от договора с данните на К. Н., като е подписала декларация за неразкриването им, не означава, че за субекта не са настъпили вреди. Напротив – засегнати са били чувствителни категории данни (три имена, ЕГН, адрес на К. Н.), без съгласието на субекта на данните, от което действие биха могли да настъпят вреди (имуществени и неимуществени). В случая дори са констатирани такива имуществени вреди (признават се и от самия касатор), изразяващи се в завишените цени на ползваната мобилна услуга от К. Н. за месец февруари 2024 г. поради погрешното прехвърляне на телефонния номер на Т. Д.. Отделен е въпросът дали са настъпили реално неимуществени вреди за субекта на данните или не, тъй като същите се претендират по отделен ред и следва да бъдат установявани в друго производство – арг. от чл. 39 от ЗЗЛД. Следователно в случая няма значение колко дълъг е периодът на засягането, тъй като сам по себе той не представлява смекчаващо обстоятелство за администратора на личните данни при реализирането на административнонаказателната отговорност по чл. 83 от ОРЗД, а има значение само за размера на вредите, които могат да се претендират по реда на чл. 39 от ЗЗЛД. Както стана ясно по-горе, смекчаващо обстоятелство е дали администраторът не е предприел своевременни мерки за предотвратяване на нарушението или за неговото своевременно прекратяване, изразяващо се в преустановяване на възможността личните данни на субекта на данните да достигнат до знанието на трети лица – арг. от буква „в“ на чл. 83, § 2 от ОРЗД. При това положение така определеният от АССГ и от КЗЛД размер от 10 000 лева на наложената имуществена санкция на „Виваком България“ ЕАД отговаря на чл. 83 от ОРЛД и на неговата цел. Поради тази причина в тази му част решението на АССГ е правилно и следва да бъде оставено в сила. Що се касае до частта на първоинстанционното решение, с което приема за законосъобразна т.2. от решението на КЗЛД, с която е наложена „корективна мярка на администратора „Виваком България“ ЕАД да направи оценка на риска и да предприеме организационни и технически мерки за предотвратяване такъв тип допуснати нарушения“, същото е необосновано, доколкото не отговаря на доказателствения материал, събран по делото. Решението на АССГ в тази му част е мотивирано с аргумента, че са липсвали ангажирани доказателства от администратора на лични данни в подкрепа на твърдението, че е извършена оценка на риска и че са налице вътрешни правила и организационни мерки, които да имат за цел да предотвратят констатираното нарушение, с цел да се осигури спазване на правилата на ОЗРД. Действително, касаторът не е представил такива доказателства пред административния орган, но същите са представени с жалбата до АССГ (вж. представената към жалбата „Оценка на риска във връзка с дейността по обработване на лични данни от служители при директна работа с клиенти в търговски обекти, с последна актуализация на документа – 30.01.2024 г.“) Независимо от това, че администраторът на данните е представил този документ едва в съдебното производство, съдът е следвало да зачете неговата стойност при преценката за законосъобразността на административния акт. Правейки обратното и достигайки до извод, който не кореспондира с цитираното писмено доказателство, съдът е постановил необоснован съдебен акт в тази му част. С оглед на горното, решението следва да бъде оставено в сила в частта, с която се потвърждава т.1. и т.3. от решението на КЗЛД, а по отношение на потвърдителната му част за т.2., същото следва да бъде отменено като необосновано, и вместо него да бъде постановено ново решение, с което административният акт да бъде отменен в тази му част. При този изход на делото, съгласно чл. 143, ал. 1 от АПК вр. с чл. 78, ал.1 от ГПК, касаторът има право на разноски, съразмерно с уважената част от касационната жалба. А според чл. 143, ал. 3 и чл. 143, ал. 4 от АПК ответникът по касация също има право на разноски съразмерно с отхвърлената част от касационната жалба. Касаторът е поискал разноски в общ размер на 291, 44 евро. Доколкото е отменена една трета от първоинстанционното решение, на касатора следва да бъдат присъдени 97, 15 евро. Що се касае до ответника по касационната жалба – Комисия за защита на личните данни, на него следва да бъдат присъдени разноски в размер на две трети от поисканото от него юрисконсултско възнаграждение, съобразно с отхвърлената част от касационната жалба. Същото съдът определя първоначално на 102, 26 евро съгласно чл. 24, изр. второ от НЗПП, като с оглед на уважената част от касационната жалба, съдът намаля с две трети до 68, 18 евро. Следователно, в крайна сметка, остават дължими по компенсация 28, 97 евро, които следва да бъдат заплатени от Комисия за защита на личните данни в полза на касатора – „Виваком България“ ЕАД. Воден от гореизложеното и на основание чл. 221, ал. 2 от Административнопроцесуалния кодекс, Върховният административен съд, пето отделение