Решение № 5379 от 22.5.2025 г. на ВАС по адм. д. № 12137/2024 г.

Производството е по чл.208 и сл. от АПК. Образувано е по касационната жалба на К. В. М. против решение 22925/ 11.11.2024 г. по адм.д. 7322/ 2024 г. по описа на Административен съд София- град. Иска отмяна на решението като неправилно поради необоснованост, материално незаконосъобразно и при нарушение на процесуалните правила. Развива следните съображения: Обработване на личните му данни в Централен кредитен регистър /ЦКР/ без да е налице изначално правно основание. Вписан е неговият ЕГН по три кредита с "ЕОС Матрикс" ЕООД, но между него и този кредитор няма никакви облигационни правоотношения. Поискал е корекция на личните му данни от БНБ по реда на чл.16 при условията на чл. 5, б."г" от Регламент 2016/679. Съдът не се е произнесъл по петитума на жалбата, не е анализирал относимите по делото доказателства, няма изложени мотиви по предмета на спора за липса на правно основание за обработване на лични данни от ЦКР. Оспореното писмо не представлява отговор на молба от 17.01.2023 г. по чл. 12, пар. 3 от Регламента. БНБ е следвало да извърши проверка на твърдяната незаконосъобразност на подадената от колекторската фирма информация и да заличи неверните данни, които се изразяват в несъществуващи правоотношения между "ЕОС Матрикс" ЕООД и К. В. М.. Физическото лице никога не е уведомявано по чл.99, ал.3 от ЗЗД, не е канен да изпълни задължения -доброволно или принудително, никога не са образувани изпълнителни дела с взискател колекторската фирма. Следователно публикуваните в ЦКР данни, отнасящи се до имущественото състояние на жалбоподателя и задълженията му към кредитни институции не отговарят на фактическото положение. Вместо да предприеме мерки за изтриване/ коригиране на данните, БНБ е указала на жалбоподателя да си потърси правата от "ЕОС Матрикс" ЕООД, с което е нарушен чл.12, пар.3 вр. с чл. 5, б. "г" и чл.15, пар.1, б. "в" от Регламента. Иска присъждане на разноски. Ответната страна Българска народна банка оспорва касационната жалба като неоснователна. Основната теза на жалбоподателя е, че БНБ е следвало да изтрие личните данни/да ги коригира, но БНБ не заличава и не променя подадените от задължените лица данни, предвид чл.17, ал.1 от Наредба 22/ 16.07.2009 г. за ЦКР. Иска оставяне на решението в сила и присъждане на разноски. Правата на жалбоподателя по чл. 25 от Наредба 22 до БНБ като контролен орган са различни от тези по Регламент 2016/679 /Регламента/. Банката само централизира и предоставя за ползване и обобщава информацията от ЦКР, предвид чл. 3, ал.1 от Наредба 22/2009 г. Искането за унищожаване на лични данни е в противоречие със Закона за кредитните институции, както и на чл. 6, пар.1 от Регламента. БНБ обработва съдържащите се в ЦКР лични данни на основание чл.6, пар.1, б."в" и б."д" от Регламента в изпълнение на чл. 56, ал.1 и ал. 2 от ЗКИ. Неоснователно е оплакването, че информацията за жалбоподателя е неточна, защото ЦКР осигурява централизиране на информацията за кредитна задлъжнялост на клиентите към банки и финансови институции, към платежни институции и дружества за електронни пари, отпускащи кредити по чл. 21 от ЗПУПС. Задълженията на жалбоподателя са активни, изискуеми и непогасени, което е видно от писмо на "ЕОС Матрикс" ЕООД от 14.02.2023 г. Спазен е чл. 10, ал. 1 от Наредба 22 като институциите са длъжни да събират и подават в ЦКР информация по кредити до окончателното им погасяване. Жалбоподателят противопоставя задължението на БНБ да извършва корекции на подавана от институциите по чл.4, ал.1 от Наредбата информация до ЦКР и задълженията по Регламента. БНБ не може да измени информацията в ЦКР най-малко, защото тази информация се подава в регистъра от друг администратор на лични данни- "ЕОС Матрикс" ЕООД. След като подателя на данните не споделя тезата за погасени задължения, БНБ не може да разреши спорове между финансова институция и нейните клиенти. Първо БНБ не разполага с документите за предоставени кредити, включително във връзка с прехвърлянето на вземанията по тези кредити. Личните данни от справката за кредитна задлъжнялост на жалбоподателя не са предоставени от него на БНТ, а от институция по чл. 4, ал.1 от Наредба 22 и е на основание чл. 56, ал. 2 от ЗКИ и чл.10 и сл. от Наредбата. Надзорните правомощия на БНБ по ЗБНБ, ЗКИ и Регламент 575/2013 на ЕП и Съвета относно пруденциалните изисквания за кредитните институции, не обхваща такива за разрешаване на спорове между финансови институции и техните клиенти по валидност на договори за цесия или по основателност нта възражения за изтекла погасителна давност. По втората молба на жалбоподателя от 22.02.2023 г., която повтаря първата от 17.01.2023 г., има отговор изх. БНБ -26953/ 7.03.2023 г. Комисията за защита на личните данни оспорва касационната жалба. Представителят на Върховната касационната прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е неоснователна по следните съображения: Решението е постановено при изяснена фактическа обстановка, въз основа на направен анализ на релевантните за спора факти и писмени доказателства и при правилно прилагане на материалния закон. Комисията за защита на личните данни е сезирана с жалба на К. В. М. против Българска народна банка с правно основание чл. 12, пар. 3 вр. с чл. 5, б."г" и чл. 15, пар.1 б."в" от Регламент 2016/679 с оплаквания за допуснати нарушения от БНБ в качеството й на администратор на лични данни. Твърди, че с издаването на Наредба 22 от БНБ от 16.07.2009 г. за Централния кредитен регистър, ответникът не може да дерогира задълженията си по Регламент 2016/679. Под идентификационен номер в ЦКР, който съвпада с неговия ЕГН, е установил вписана задлъжнялост по три кредита към "ЕОС Матрикс" ЕООД, което не съответства на фактическото положение, защото те са "очевидно" погасени по давност. С нотариална покана от 17.08.2022 г. е поискал от "ЕОС Матрикс" ЕООД да подаде към ЦКР информация в електронен вид за погасени задължения и по трите кредита, но не е получил отговор. От БНБ е поискал на 30.01.2023 г. да провери коректността на подадените от "ЕОС Матрикс" ЕООД към ЦКР данни. Твърди, че не е уведомяван за цесия по чл. 99, ал. 3 от ЗЗД и не е канен да изпълни задължения доброволно или принудително, няма образувани изпълнителни дела и неплатени публични задължения. С молба от 22.02.2023 г. е поискал от БНБ в качеството си на контролираща институция и администратор на лични данни да изиска отново от "ЕОС Матрикс" ЕООД доказателства за договори с посоченото търговско дружество, както и доказателства за прехвърляния на вземания, съобщения до жалбоподателя, а ако такива не бъдат предоставени, на основание чл .25а от ЗЗЛД иска изтриване или унищожаване на лични данни. Твърди, че не е спазено решение по С-434/16 и решение по съединени дела С-121/12 и С-373/12 за достъп до данните. Твърди, че БНБ обработва незаконосъобразно личните му данни в нарушение на чл. 6, пар.1 от ОРЗД. Иска прилагане на мерки по чл. 58, пар. 2 от Регламент 2016/679 и по чл. 80 от ЗЗЛД и издаване на разпореждане за изтриване на лични данни от ЦКР по три кредита, посочени с идентификатори. С решение ППН-01-2023/ 27.06.2024 г. КЗЛЗ обявява жалбата за неоснователна. С решение 22925/ 11.11.2024 г. по адм.д. 7322/ 2024 г. по описа на Административен съд София град е отхвърлена като неоснователна жалбата на К. В. М.. Съдът приема, че данните за физическата и икономическа идентичност на жалбоподателя са лични данни, обикновена категория, съхранението и извличането на лични данни от информационната система на ЗКР е обработване на лични данни с автоматични средства, поради което БНБ има качеството на администратор на лични данни. Молбата от 17.01.2023 г. съдържа искане до БНБ като контролиращ орган по чл. 25 от Наредба 22/ 16.07.2009 г., а не по чл.12, пар.3 от Регламента. Молбата от 22.02.2023 г. е по реда на ЗЗЛЗ и по нея има произнасяне с писмо БНБ-26953/ 7.03.2023 г. на БНБ, с което банката е насочила жалбоподателя да предяви претенциите си по чл.16-18 от Регламента към "ЕОС Матрикс" ЕООД, защото БНБ няма правомощия да разрешава спорове между институциитепо чл.4, ал.1 от Наредба 22 и техните клиенти. Решението е правилно и следва да се остави в сила. Липсата на мотиви по всички наведени доводи не представлява съществено нарушение на съдопроизводствените правила, защото в случая не променя правилността на крайния резултат по спора. Решението на КЗЛД е постановено в производство по чл. 38, ал.1 от ЗЗЛД по оплакването на К. В. М. за нарушени негови права по Регламент 2016/679. Правилно съдът приема, че БНБ има качеството на надзорен орган по ЗБНБ и на администратор на лични данни по ЗЗЛД и Регламент 2016/679, като в случая е сезирана и в двете й качества. КЗЛД има правомощието да разгледа само оплакванията по Регламент 2016/679. С молба от 17.01.2023 г. жалбоподателят е поискал от БНБ по реда на чл. 21 от Наредба 22/2009 г. информация за кредитната си задлъжнялост по кредити с идентификатори EOSDP000000001288904, EOSDP000000001288905, EOSDP000000001288906 и прави искане за корекция по чл. 24 от Наредба 22/2009 г. поради липса на правоотношения с "ЕОС Матрикс" ЕООД. С втора молба БНБ-22465/ 22.02.2023 г. до БНБ е поискано да бъде приложен чл. 25а от ЗЗЛД поради нарушени чл. 5 и чл. 6 от Регламент 2016/679 и да бъдат изтрити личните данни на жалбоподателя в Централния кредитен регистър, подадени от ЕОС "Матрикс" ЕООД. Фактологията, която е посочена в първата молба е повторена и във втората. Поради неизвършена корекция и неизтриване на личните данни на молителят в Централния кредитен регистър, същият сезира Комисията за защита на личните данни с жалбата с вх. ППН-01-283/ 5.04.2023 г. за прилагане на мерки по чл. 58 от Регламента и искане да разпореди на БНБ изтриване на личните данни на лице с идентификационен код [номер] по кредити с идентификатори EOSDP000000001288904, EOSDP000000001288905, EOSDP000000001288906 поради неспазване на чл.12, пар.3 вр. с чл.5, б."г", чл.6, пар.1 и чл.15, пар.1, б"в" и чл.16 и чл.17 от Регламент 2016/679. Личните данни са определени в чл.4 от Регламент 2016/679 като всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Следователно идентификационен код, който повтаря ЕГН на жалбоподателя и кредитите с посочените идентификатори, които се обработват в публичен регистър на БНБ, представляват лични данни, които позволяват идентифициране на жалбоподателя като субект на лични данни. Не е допуснато нарушение на правото на достъп на субекта на лични данни по смисъла на чл.15, пар.1, б."в" от Регламента, в какъвто смисъл е оплакването пред КЗЛД и пред съда. Това право трябва да позволи на субекта на данните да провери дали свързаните с него лични данни са точни и дали се обработват законосъобразно (Решение от 27.02.2025 г. по С-203/22, Решение от от 4 май 2023 г. по C-487/21, C-307/22) и е необходимо, за да може субектът на данните евентуално да упражни правото си на коригиране, правото си на изтриване (право да бъдеш забравен") и правото си на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от Регламента, правото си на възражение срещу обработване на неговите лични данни, предвидено в чл. 21, и правото си на иск и правото си на обезщетение, предвидени съответно в членове 79 и 82 от Регламента (вж. решение по С-203/22, Решение от 4 май 2023 г по C-487/21, т. 35). В случая правото на достъп до обработваните от БНБ в Централния кредитен регистър лични данни е упражнено преди подаването на молбите и именно въз основа на достъпа до съдържащата се в ЦКР информация и изготвена справка за кредитна задлъжнялост изх. БНБ-57063/ 1.07.2020 г. /л.52/, както и на отговор на БНБ с писмо изх.0024/13.02.2023 г. жалбоподателят е упражнил правата си по чл.16 и чл.17 от Регламента пред БНБ и КЗЛД. Съгласно чл.16 от Регламента във връзка с принципа за обработване на точни и актуални лични данни по смисъла на чл.5, пар.1, б."г" от същия регламент, субектът на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Това означава, че правото на коригиране на лични данни е свързано с качеството на личните данни и тяхната техническа и друга надеждност. Точността и пълнотата на личните данни трябва да се преценяват с оглед на крайната цел, за която тези данни са били събрани / виж Решение по дело С-247/23 и Решение на Съда от 20.12.2017 г. по дело С-434/16/, като правото на коригиране е свързано с предхождаща упражняването му неточност или грешка на информацията. В чл. 16 от Регламента не се уточнява кои са доказателствата, които администраторът може да изисква, за да установи неточността на личните данни, които дадено физическо лице иска да бъдат коригирани /Решение от 25.03.2025 г. по дело С-247/23/. В случая БНБ е поискала с писмо изх. БНБ-12168/ 30.01.2023 г. в качеството си на надзорен орган и на основание чл.25, ал.1 от Наредба 22 за ЦКР от "ЕОС Матрикс"ЕООД да извърши проверка по случая на К. В. М., за който за последния отчетен период 31.12.2022 г. е предоставена от финансовата институция данни за активни кредити, както следва :а/кредит с идентификатор EOSDP000000001288906 с вид на кредита "Придобиване на кредити" с просрочие над 360 дни в размер на 53821.00 лв., отчетена като балансова експозиция, б/ кредит с идентификатор EOSDP000000001288904, с вид на кредита "Придобиване на кредити" с просрочие над 360 дни в размер на 25 624.00 лв. и отчетена като балансова експозиция, в/ кредит с идентификатор EOSDP000000001288905 с вид на кредита "Придобиване на кредити" с просрочие над 360 дни в размер 27 129,00 лв., отчетена като балансова експозиция. Според БНБ подадена информация има и в раздел "Просрочия по активни и по погасени кредити" за същите кредити за периода от 31.01.2018 г.- до 31.12.2022 г. По това писмо е представен отговор от "ЕОС Матрикс" ЕООД до БНБ и К. М. с вх. БНБ-19064/ 14.02.2023 г. /л.71/, от който е видно, че "ЕОС Маткрикс" ЕООД е частен правоприемник и субект по чл. 4 от Наредба 22/2009 г., като писмото трябва да се определи като уведомяване по чл. 99, ал. 3 от ЗЗД за сключена цесия с ОББ АД от страна на цесионера, за което нямало пречка при условията на упълномощаване. Задълженията произтичали от договор за кредитна карта Mastercard от 9.06.2005 г., договор за кредитна карта VisaClassic от 24.11.2004 г. и договор за кредитна карта Visa Gold от 16.07.2007 г. Направено е волеизявление, че не са налице непълни или неточни лични данни, защото няма промяна в личните данни на длъжника, нито на информацията свързана с вземанията, които не са погасени. Освен това информацията не може да бъде изтрита по чл.17 от ОРЗД, защото не е налице нито една от хипотезите. "ЕОС Матрикс" ЕООД посочва, че няма основание за промяна на статуса на задължението, личните данни се обработват законосъобразно, а изтриването на личните данни от вътрешната система на "ЕОС Маткрикс" ЕООД и чрез заличаване на информацията, която се подава до ЦКР, би представлявало нарушение по чл.10 от Наредба 22 от 16.07.2009 г. за Централния кредитен регистър. Видно от данните по делото източникът на лични данни за К. В. М., които се обработват в ЦКР, е "ЕОС Матрикс" ЕООД. Съгласно чл. 56, ал.1 от ЗКИ Българската народна банка създава и поддържа информационна система за паричните задължения на клиентите към банките и клоновете на банки, извършващи дейност на територията на страната, лица по чл. 3а от ЗКИ, платежните институции и дружествата за електронни пари, отпускащи кредити, инвеститори, предоставили заем по проект. В системата се съхранява и информация относно лицата, които са съдлъжници и поръчители по кредити. Условията и редът за създаване и функциониране на информационната система и за предоставяне и получаване на информация от нея се определят с наредба на БНБ, в случая Наредба 22 от 16.07.2009 г. за Централния кредитен регистър. Съгласно чл. 56, ал.10 от ЗКИ информация в системата се съхранява за срок 5 години от датата на последния отчетен период. Целта е посочена в чл. 56, ал.2 и ал. 3 от ЗКИ. Институциите по чл. 56 ал. 1, т. 1 3 и доставчиците на услуги за колективно финансиране по ал. 1, т. 4 са длъжни да предоставят и имат право да получават информация от системата. Това е така, защото по чл. 14, ал.1 и ал.2 от Закона за кредитите за недвижими имоти на потребители и чл. 16 от Закона за потребителския кредит, кредиторът предоставя кредит след оценка на кредитоспособността на потребителя, която да показва, че потребителят ще може да изпълнява задълженията си, произтичащи от договора за кредит. Оценката на кредитоспособността се извършва след справка в Централния кредитен регистър или друга база данни, използвана в Република България за оценка на кредитоспособността на потребителите, като се взема предвид информацията, съдържаща се в регистъра, при управление на риска, свързан с предоставянето на кредита. Освен това в чл. 56, ал. 3 от ЗКИ са посочени държавни органи, които имат достъп до системата като прокуратура и следствени органи, ДАНС, ГД "НП", ГДБОП, КФН, НАП, ДАР, Агенция "Митници и др. В Централния кредитен регистър по чл. 4, ал.1 от Наредба 22/ 2009 г. информация за кредитната задлъжнялост на клиентите си подават и получават банките и клоновете на чуждестранни банки, регистрираните лица по чл. 3а от Закона за кредитните институции (ЗКИ), платежните институции и дружествата за електронни пари, доставчиците на услуги за колективно финансиране, органите по чл.56, ал.3 от ЗКИ. Съгласно чл.10, ал.1 от Наредба 22/2009 г. институциите по чл. 4, ал. 1 са длъжни да събират и подават към Централния кредитен регистър информация в електронен вид за всички кредити на техните клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване, без да е посочен конкретен начин за погасяването- чрез плащане или изтичане на погасителна давност. Задължението е ежемесечно, до 15-о число на месеца, следващ отчетния, като се подава информация за състоянието по всички активни кредити на техни клиенти към последната дата на отчетния месец. В същия срок се подава и информация за извършените корекции по кредити на техни клиенти за предходни отчетни периоди. Съгласно чл.15, ал. 2 от Наредбата когато институция по чл. 4, ал. 1, т. 1 3 е прехвърлила вземането си по кредит на друга банка или финансова институция, платежна институция или дружество за електронни пари, но продължава да обслужва и администрира погашенията по кредита, информация към Централния кредитен регистър за този кредит и за настъпилите изменения по него подава банката или финансовата институция, платежна институция или дружество за електронни пари, придобила/о вземането по кредита. Предвид чл.17, ал.1 от Наредбата Българската народна банка не извършва корекции на подаваната от институциите по чл. 4, ал. 1 информация към Централния кредитен регистър. Институциите по чл. 4, ал. 1 носят отговорност за верността, пълнотата и своевременното подаване на информацията по тази наредба, както и за спазване изискванията за защита на личните данни. БНБ не разрешава спорове между финансови институциии и техните клиенти относно наличието на облигационни правоотношения и задължения по договори за кредити. Следователно посочената по-горе нормативна уредба не създава задължение за БНБ по нейна инициатива да проверява и заличава подаваната към ЦКР информация за кредитна задлъжнялост, тъй като това е изцяло в задълженията на банките или финансовите институции. Правомощията на БНБ по чл.25 от Наредба 22/2009 г. са за осъществяване на контрол за спазване на условията и реда за подаване и ползване на информация от Централния кредитен регистър, както и за създаване и поддържане на специален регистър по чл. 19а, ал. 2 от институциите и органите по чл. 4, ал. 1 и 2, което не включва задължение за проверка верността на информацията като вид и размер на кредитната задлъжнялост, нито разрешаване на спорове между финансовите институции и клиентите им. Като е оставила без уважение искането за прилагане на мерки по чл. 58 от Рагламент 2016/679 за нарушение на чл.16 от същия регламент, Комисията за защита на лични данни е постановила материално законосъобразен административен акт, жалбата срещу който правилно е отхвърлена от съда като неоснователна. Обработването на личните данни е законосъобразно, съответства на на чл.6, пар.1, б. в" от Регламента, при спазване на законово задължение, което се прилага спрямо администратора и в съответствие с принципите за законосъобразно, добросъвестно и по прозрачен начин обработване на лични данни за указани и легитимни цели по чл. 5 пар.1, б. "а" и б."б" от Регламента. Не е допуснато нарушение от БНБ и на чл.17 от Регламент 2016/ 679. В член 17, параграф 1 се определя общ принцип за изтриване на данните в шест случая, като жалбоподателят не е уточнил коя от хипотезите твърди, че е налице за настоящото дело. Предвид обаче наведените доводи в първоначалната жалба до съда за неспазени принципи по чл. 5, пар.1, б."а", б." и "в" от Регламента следва да се приеме, че според жалбоподателя е налице нарушение на чл.17, пар.1, б."а" и б. "г" от Регламента- право на изтриване на свързаните с него данни без ненужно забавяне, тъй като повече не са необходими за целите, за които са събрани, а личните данни са обработвани незаконосъобразно. Не е налице хипотезата на 17, пар.1, б."г" от Регламента, която регламентира право на изтриване на лични данни, когато изначално се обработват незаконосъобразно. Случаят не е такъв, предвид съществуващата разпоредба на чл.56, ал.1 от ЗКИ и наличието на законово задължение за обработване на лични данни, предоставени от банки и финансови институции. Това покрива критерия по чл.6, пар.1, б."в" от Регламента за законосъобразност. Правото на изтриване не е абсолютно право. Позоваването на чл.17, б. "а" от Регламента означава, че трябва да се изследва дали личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин. Това право е свързано с принципа за ограничаването на целите, който принцип налага събирането и обработването на личните данни да става за конкретни, изрично указани и легитимни цели. Предвид изложените по-горе мотиви, легитимните цели, които се преследват с разпоредбите в специалните закони, не са отпаднали. Жалбоподателят е възразил срещу обработването на личните му данни от БНБ като изгражда защитна теза с позоваване на Наредба 22/ 2009 г. Източникът на личните данни е извън БНБ, като законодателят дава преимущество на обществения интерес над интересите на физическото лице. Целта е предоставяне на информация за кредитна задлъжнялост на клиенти към банките и финансовите институции и др. институции и дружества, отпускащи кредити по реда на чл.21 от ЗПУПС, към инвеститори и компетентни държавни органи. По този начин се осигурява централизиране на информацията за кредитната задлъжнялост и няма данни целта да е отпаднала. Правото на коригиране, прогласено в член 16 от Регламента, може да бъде ограничено само при условията, посочени в чл. 23 във връзка със съображение 73 от същия регламент. Така държава членка може по-специално посредством вътрешни законодателни мерки да предвиди ограничения на това право по отношение на личните данни, съдържащи се в публични регистри, които се поддържат поради причини от широк обществен интерес, в какъвто смисъл са чл. 56, ал.1 от ЗКИ, чл.14 от ЗКНИП, чл.16 от ЗПК. Предвид изложеното решението следва да се остави в сила. Ответната страна претендира присъждане на направените по делото разноски, в случая юрисконсултско възнаграждение за процесуално представителство, което на основание чл.78, ал.8 ГПК вр. с чл.37 от ЗПП и чл. 24 от Наредбата за заплащането на правна помощ, настоящият съдебен състав определя на 200 лв. На основание чл. 221,ал. 2 от АПК, Върховният административен съд, състав на пето отделение