Решение № 4456 от 22.04.2026 г. на ВАС по адм. д. № 11962/2025 г.

Производството е по реда на чл. 229 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „Кредито“ ООД, чрез адв. Костова срещу решение № 33507 от 14.10.2025г. по адм. дело № 4358/2025г. на Административен съд София - град /АССГ/, с което е отхвърлена жалбата му срещу Решение № ППН-01-82/26.03.2025 г. на Комисията за защита на личните данни /КЗЛД/. В касационната жалба са наведени доводи, че съдебното решение е неправилно поради противоречие с материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – касационни основания по чл.209, т.3 от АПК. Твърди се липсата на незаконосъобразно обработване на лични данни на жалбоподателката Ш., че дружеството има внедрена процедура по идентификация и проверка на клиента чрез системата „OraSys“ и автоматизиран интерфейс и така внедрените мерки за защита на личните данни са достатъчни и ефективни. Счита, че при установени нарушения, свързани с пропуски при защитата на личните данни, отговорността следва да носи лицето, което е допуснало пропуска /нарушението/, предвид, че отговорността е лична. Поддържа, че при наличие на престъпно деяние, за което има данни по делото, КЗЛД няма компетентност да се произнася по случая. Моли за отмяна на съдебното решение и отмяна на административния акт. Претендира разноски по делото. Касационният ответник- КЗЛД, чрез юрк. Райчева в представени писмени бележки и в съдебно заседание подържа становище за неоснователност на касационната жалба. Претендират се разноски по делото и се прави възражение за прекомерност на адвокатския хонорар. Ответната страна - А. Ш. не изразява становище по делото. Представителят на Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в преклузивния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна. За да се произнесе по спора, АССГ е установил, че производството пред КЗЛД е образувано по постъпила жалба от А. Ш., съдържаща твърдения за неправомерно обработване на личните й данни в контекста на отпуснат кредит с идентификатор № 100С4090 от 19.09.2022 г. в размер на 800 лева от дружеството „Кредито“ ООД като неправомерно били използвани нейни лични данни – три имена, ЕГН, адрес и номер на лична карта, като били изтеглени кредити на нейно име, без тези действия да са извършени от нея, без нейно знание и съгласие. Установено било, че на 19.09.2022 г. чрез електронната платформа, достъпна на интернет страницата www.credito.bg, била подадена заявка за отпускане на кредит № 66923 за сумата от 800 лева от А. Ш., [ЕГН], номер на лична карта [номер], тел. за връзка [номер] и с адрес: гр. София, [жк], [адрес] и електронна поща [електронна поща]. Заявителят качил в ел.платформа и снимки на лична карта и селфи с лична карта. Въз основа на така предоставената информация, служители на дружеството жалбоподател извършили проверка на представените лични данни в системата на МВР, която сравнявала номера на лична карта и рождената дата на заявителя, която се извеждала от въведеното ЕГН, като в случай, че е налице съвпадение, представената от заявителя лична карта се приемала за валидна. Впоследствие бил сключен договор за потребителски кредит от разстояние № ОL00066923 от 19.09.2022 г. между А. Ш. (с горепосочените идентификационни данни) и „Кредито“ ООД. Сумата по договора в размер на 800 лева била преведена чрез системата на „Изипей“ АД на 19.09.2022 г. и получена от кредитополучателя на 20.09.2022 г. на място в офис на Изипей. С оглед така установените факти, КЗЛД приела, че жалбоподателят не е взел предвид, че посочената дата на раждане в представената снимка на лична карта ([дата]) не съответства на първите цифри от изписаното в същата тази лична карта ЕГН – [номер]…Не е обърнал и внимание, че при извършените справки по ЕГН в Централния кредитен регистър и в НОИ, данните се отнасяли до лице с име А. Ш., а не А. Ш.. Поради това органът приел, че от страна на „Кредито“ ООД не са прилагани подходящи технически и организационни мерки за защита на личните данни по повод идентификация на клиенти – физически лица в контекста на процедурата по сключване на договори за кредит и в частност, такива, които са насочени към установяване по безспорен начин на идентичността на лицето, чиито данни са подадени към дружеството по електронен път и лицето, до което се отнасят тези данни, вкл. и не само чрез осъществяване на достъп до регистърът „Български документи за самоличност“ на МВР. Въз основа на тези констатации било издадено и оспореното в настоящото производство решение № ППН-01-82/26.03.2025г. на Комисията за защита на личните данни. За да отхвърли жалбата срещу посеченото решение, АССГ приел, че е издадено от компетентен орган, в предвидената форма, при липса на допуснати съществени нарушения на административнопроизводствените правила и в съответствие с материалният закон и целта на закона. Пъврвоинстанционният съд, въз основа на доказателствата по делото установил, че обработването на лични данни на А. Ш. от „Кредито“ ООД, в качеството му на „администратор на лични данни” по смисъла на §1, т. 2 от ДР на ЗЗЛД, във връзка с чл. 4, т. 7 от Регламент 2016/679, не е извършено в съответствие с чл. 4, т. 11 от Регламент 2016/679, съгласно който „съгласие на субекта на данните" означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“. Според съда в процесния случай не е било налице именно такова „съгласие“ при обработването на личните данни на А. Ш., а обратното данните са обработени без нейно знание и съгласие, против волята й. АССГ констатирал липсата на доказателства за надлежно, ефективно извършени действия по идентификация на лицето, за липса на последващ контрол върху такива действия, все задължения на администратора на лични данни. С оглед установеното съдът приел, че „Кредито“ ООД е нарушило разпоредбата на чл. 5, § 1, буква а), е) и § 2 от Регламент (ЕС) 2016/679 като е обработило личните данни на А. Ш. в противоречие с принципите на законосъобразност, добросъвестност, цялостност, поверителност и на отчетност. Съдът изцяло е възприел становището на КЗЛД, че най-подходяща и целесъобразна е мярката по чл. 58, § 2, б. г" от Регламент (ЕС) 2016/679, съгласно който надзорният орган има корективни правомощия да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок – в случая да въведе подходящи технически и организационни мерки за защита на личните данни при идентификация на клиенти – физически лица в контекста на сключване на договори за потребителски кредит, с определен срок за изпълнение 3 месеца от влизане в сила на решението. По отношение на наложената санкция от 10000 лева на „Кредито“ ООД, АССГ приел, че е съобразно степента на засягане на обществените отношения по защита на личните данни съобразил и размера на годишните приходи на санкционираното дружество, поради което е направен извод, че наложената санкция в размер на 10 000 лева е завишена. Така постановеното съдебно решение е валидно, допустимо и правилно. Административен съд София град е установил вярно фактическите обстоятелства и правилно е приложил релевантните правни норми. Не е допуснал съществено нарушение на съдопроизводствените правила, събрал относимите към спора доказателства и не е допуснал нарушения при анализа им. Изводите на първоинсанционният съд се споделят изцяло поради което на осн. чл. 221, ал. 2 от АПК касационният състав препраща към тях. Фактическата обстановка е правилно установена от първоинстанционниа съд и не е спорна по делото. Не е спорно, че "Кредито" ООД е администратор на лични данни по счисъла на чл.4, т.7 от Регламент (ЕС) 2016/679, който по силата на чл. 5, § 2 носи отговорност за спазването на принципите при обработването на личните данни. Изцяло се споделя извода на първоинстанционният съд, че е „Кредито“ ООД е нарушило разпоредбите на чл. 5, § 1, буква а), е) и § 2 от Регламент (ЕС) 2016/679, като е обработило личните данни на А. Ш. в противоречие с принципите на законосъобразност, добросъвестност, цялостност, поверителност и на отчетност. По административната преписка, а и по делото е установено, че А. Ш. е различно лице от А. Ш.. Безспорно също така се установява, че последната е ползвала лична карта с № [номер] издадена на дата 22.10.2013 г., валидна до 22.10.2023 г. от СДВР, в която е вписано [ЕГН] /на Ш./. Въз основа на така описаните данни от личната карта на Ш. е сключен договор за потребителски кредит от разстояние № ОL00066923 от 19.09.2022 г. По този начин са обработвани лични данни на А. Ш. без нейно съгласие и като цяло без наличието на нито една от предпоставките по чл. 6 от ОРЗД. При тази фактическа обстановка се е произнесла КЗЛД, възприета и обсъдена изцяло от АССГ. Неоснователно е оплакването, че законосъобразно са били обработвани лични данни на лице, което е дало съответното съгласие за това и се е легитимирало надлежно с лична карта. От данните в административната преписка и първоинстанционното дело се установява, че трето лице е използвало частично лични данни на Ш. за да сключи договор за потребителски кредит от разстояние № ОL00066923 от 19.09.2022 г. Все в тази връзка неоснователна е и претенцията за надлежно положен подпис, което от своя страна обуславя валидно сключен договор, а от там и съгласие за обработване на лични данни. Подписът в случая не е саморъчен, а автоматизиран дигитализиран електронен подпис, чрез изпращане на текстово съобщение „смс“ /FLDTEXT/, криптиран с ключ, с който само дружеството разполага. В контекста на настоящият случай и предвид подробно описаната процедира за получаване на кредит в приетата от първоинстанционният съд експертиза, положеният електронен подпис може да се свърже с устройството, от което е комуникирано и с лицето, ползващо това устройство в този момент, но не и с лицето, на което са обработвани личните данни – А. Ш.. Без правно значение за настоящият случай е както правилно е отбелязал АССГ, дали става въпрос за извършване на престъпление – използване на „фалшив“ документ – лична карта. При разглеждане на жалба за нарушение при обработване на лични данни, от КЗЛД не се преценява има ли извършено престъпление и кой е неговият извършител, а дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това, взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. Неоснователни са и претенциите на касатора, че е внедрил ефективни и достатъчни мерки за защита на личните данни, които са приети и одобрени от друг вид контролен орган. От данните по делото, в това число приетата СТЕ се установява точно обратното. На база два параметъра /номер на лична карта и ЕГН/ се допуска потребителя да продължи, респ. да завърши процедурата по кандидатстване и одобрение на кредита. Установено е и не се спори, че касаторът използва система “OraSys” и автоматизиран интерфейс (API), която зарежда актуална база данни на МВР с всички валидни лични документи за текущия ден. Системата сверява номера на документа с датата на раждане на притежателя на личната карта и ако има съвпадение на двата параметъра, отчита валидност на документа за самоличност. От съображения за сигурност, системата не предоставя достъп до другите данни от личната карта – имена, дата на издаване, дата на валидност, адрес и др. СТЕ посочва, че системата е отчела съвпадение по двата въведени критерия – дата на раждане – [дата] и номер на лична карта – [номер]. Последствие се прилагат снимки на лицето с личната карта. АССГ обаче е установил, че изписаната дата на качената в ел.платформа на „Кредито“ лична карта е [дата], която е различна от датата на раждане, генерирана от изписаното ЕГН. Съдът изцяло е възприел и констатациите на органа, че отговорният служител на дружеството не е обърнал внимание, че при извършените справки по ЕГН в Централния кредитен регистър и в НОИ, данните се отнасяли до лице с име А. Ш., а не А. Ш.. Следователно при така установените факти и посочените доказателства се налагат следните изводи: 1/ мерките за защита на личните данни и идентификация на клиенти са недостатъчни, неадекватни и неефективни; 2/ администраторът на лични данни „Кредито“ ООД не е изпълнил задълженията като цяло за обработването на личните данни съобразно изискванията на чл. 5, и чл. 6 от ОРЗД. Правилен е и извода на АССГ относно размера на наложената санкция. Съдът, макар и лаконично, е обосновал извода си за законосъобразност и съразмерност на наложената санкция в размер на 10000 лева, позовавайки се на установеното от КЗЛД размери на годишните приходи за 2019г. – 2023г. и високата степен на засягане на обществените отношения по защита на личните данни. Тези изводи се споделят изцяло от касационният състав. При горните съображения и при липса на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. При този изход на спора се следват разноски по делото в полза на касационния ответник. Същите касационният съд определя на 102 евро на осн. чл. 25, ал. 1 от Наредбата за заплащане на правната помощ. Воден от горното и на осн. чл.221, ал.2 АПК, Върховният административен съд, Пето отделение