Решение № 10786 от 18.8.2026 г. на Административен съд - Варна по дело № 486/2026 г.

Производството е по реда на чл.145 и сл. от АПК. Производството е образувано по жалба на О. П. срещу решение рег.№ 02-110 от 18.12.2025г. издадено от Комисията за защита на личните данни /КЗЛД, Комисията/. В жалбата е посочено, че оспореното решение на КЗЛД е нищожно, в евентуалност се поддържа възражение за незаконосъобразност на административния акт. На първо място, жалбоподателят счита, че производството по издаването на акта е следвало да се развие по реда на ЗАНН, като са цитирани разпоредбата на чл.87, ал.1 от ЗЗЛД и разпоредбата на чл.38, ал.1 от ЗЗЛД и е направен извод, че освен в случаите на упражняване на право на жалба до надзорния орган, административнонаказателната отговорност следва да се реализира по реда на ЗАНН. Намира, че при липса на сезиране от субекта на данни, КЗЛД няма компетентност да се произнася с решение, т.к. не осъществява юрисдикционна дейност, не решава правен спор след сезиране. Счита, че след като част от данните били на починали лица ОРЗД не е приложим. Намира, че производството не е осъществено по реда на ЗАНН, което е довело до нарушаването на правото му на защита и до постановяване на решение от некомпетентен орган – Комисията, вместо от нейния председател, поради което счита, че актът страда от порок нищожност. На второ място жалбоподателят счита, че О. П. не е имала качеството „администратор“ на личните данни в НБД „Население“, до които е прието да е осъществила неправомерен достъп. Сочи, че една част от лицата са починали, а други не били жители на общината и нямат постоянен или настоящ адрес на територията на общината, като не са вписани в регистъра на последната, както и че личните им регистрационни картони не се съхраняват и поддържат от общинската администрация. Развива доводи относно създаването и поддържането на регистрите за гражданско състояние, регистърът на населението и Единната система за гражданска регистрация и административно обслужване на населението (ЕСГРАОН) и понятието „администратор“ съгласно ОРЗД. Сочи, че О. П. не определя целите и средствата за обработването на лични данни, че те са установени в наредбите и законите на Република България, поради което не попадала в обхвата на понятието „администратор“ на лични данни съгласно регламента. На трето място, счита че Регламент (ЕС) 2016/679 не е приложим към данни на починали лица и че по отношение на личните данни на починалите лица е приложим ЗЗЛД, като цитира съображения 27, 158, 160 от Регламента и чл. 25е от ЗЗЛД. Сочи, че от прегледът на съдебната практика на националните съдилища е констатирал, че при обработването на лични данни на починали лица приложение намирал ЗЗЛД, като санкцията била налагана по ЗАНН и размерът й бил значително по-нисък от наложения. На четвърто място счита, че Комисията не е извършила собствена проверка по случая. На пето място счита, че е нарушено правото на защита на жалбоподателя, включително правото му да бъде изслушан преди вземането на решение, което го засяга. Сочи, че Комисията не е повеждала открито заседание, с участието на представител на жалбоподателя. На шесто място сочи, че националното законодателство не допуска налагането на наказания на публични органи и структури, каквито са общините. На седмо място сочи неяснота на мотивите, т.к. от съдържанието на решението на може да се разбере за какво деяние (действие или бездействие) и на кой субект е наказана О. П.. На осмо място сочи, че от оспореното решение на КЗЛД не става ясно дали е осъществено едно или повече нарушения. На девето място счита, че квалификацията на нарушението/ нарушенията е непълна и неточна. На десето място, жалбоподателят счита, че липсват мотиви относно субективната страна на нарушението/ нарушенията. На единадесето място счита, че административния акт е издаден в противоречие с практиката на КЗЛД по тълкуването и прилагането на закона и на дванадесето място, че приложената мярка е необоснована и непропорционална и в противоречие с разпоредбата на чл.83 от ОРЗД. Ответникът по жалбата я счита за неоснователна и моли съдът да я отхвърли. Иска присъждането на юрисконсултско възнаграждение. Съдът след като съобрази изложените от страните доводи и твърдения, доказателствата по административната преписка и събраните в хода на съдебното оспорване, в съвкупност и поотделно и разпоредбата на чл.168 АПК, намира следното от фактическа и правна страна: Жалбата е подадена в предвидените форма и срок, от лице с правен интерес – адресат на административния акт и е допустима. Предмет на проверка е решение рег.№ 02-110 от 18.12.2025г. издадено от Комисията за защита на личните данни. С решение рег.№ 02-110 от 18.12.2025г. Комисията за защита на личните данни е наложила на О. П., в качеството на администратор на лични данни за нарушение на Член 32, §1, буква „б“ и буква „г“ и Член 32, §2 на основание Член 58, §2, буква (и) от Регламент (ЕС) 2016/679, определяйки размера на наказанието съобразно Член 83, §4, буква „а“ от Регламент (ЕС) 2016/679, административно наказание – имуществена санкция в размер на 160 000лева. Посочено е, че наложеното административно наказание отразява адекватно естеството, тежестта и възможните последици, които биха възникнали за засегнатите физически лица от нарушението, като наказанието следва да има възпитателна, възпираща и предупредителна функция за нарушителя. Посочено е, че с тази цел е наложена имуществена санкция на О. П. в размер кореспондиращ с минималните санкционни размери в нормите на Регламент (ЕС) 2016/679, както и с финансовото състояние на общината. За да издаде оспореният административен акт Комисията за защита на личните данни е констатирала в хода на извършена проверка на О. П., че служител на длъжност „специалист“ в [населено място], О. П. е предоставила на лице, което се е представило по телефон за служител на ОД МВР Варна, след издиктуването от последният на ЕГН, на данните (акт за раждане, място на раждане, място и дата на смъртта и данни за починалата му съпруга) на две починали лица, които са били в съпружеска връзка приживе и данни за децата им – ЕГН, постоянен и настоящ адрес. След това лицето поискало да получи и друга информация по зададено ЕГН и след като получило информацията, прекъснало връзката. Когато разговорът с непознатият мъж приключил, служителката се свързала с кмета на [населено място], разказала му за случилото се и той потвърдил, че е дал номерът на нейния телефон, т.к. решил че проверката е във връзка с предстоящите избори. След това за случая били информирани кметът и секретарят на О. П.. В хода на проверка от прокурор, кметът на [населено място] потвърдил, че е дал телефонният номер на служителят на [населено място], т.к. е получил обаждане от скрит номер. Мъжът се представил като инспектор от 04 РУ-Варна и казал, че ще посети кметството и т.к. по същото време кметът бил извън населеното място дал телефонният номер на служителката. В ОД МВР Варна било издирено едно лице, с имена, като тези посочени от представилият се за служител на ОД МВР Варна, но при проведената с него беседа, то отрекло да е търсило каквато и да е информация от [населено място] и е посочило, че не е провеждало разговори с кмета и със служителя на кметството. Проведени са действия от полицейските органи, като не е установено кое е лицето, което е получило данните по неправомерен начин. При описаната по-горе фактическа обстановка прокурор при РП Варна е направил извод за липса на престъпление, прекратил е производството по прокурорската преписка и е изпратил материалите в КЗЛД. С писмо изх. № от 26.02.2025г. от Комисията е дадена възможност на кмета на [населено място] да изрази становище във връзка с проверката, както и да представи списък на физическите лица, за които служителят на кметството е предоставил информация по телефона на неизвестно лице. Изисканата информация не е постъпила в дадения срок, поради което с писмо изх. № от 27.03.2025г. на Комисията е даден срок на кмета на [населено място] да изрази становище по случая и да представи списък на физическите лица, за които служителят на кметството е предоставил информация по телефона на неизвестно лице. В отговор постъпва писмо с вх.№ от 15.04.2025г. от кмета на [населено място], в което той сочи, че служителят на кметството е подлъган да даде информацията съдържаща лични данни и поради това, че не била възникнала имуществена вреда, на служителят не следвало да бъде наложено наказание. Констатирано е, че в писмото не се съдържа изисканият списък на физическите лица, за които служителят на кметството е предоставил информация по телефона на неизвестното лице. Изпратено е писмо с изх. № от 28.04.2025г. от Комисията до кмета на [населено място], с което е изискан списък на физическите лица, за които служителят на кметството е предоставил информация по телефона на неизвестно лице. В писмо с вх.№ от 09.05.2025г. кметът на [населено място] е посочил, че служителят на кметството е бил подложен на силен стрес от създалата се ситуация и нямал възможност да си спомни конкретните имена на лицата, за които е изискана информацията от неизвестното лице, което се е обадило от скрит номер. Това, което служителят си спомнял е, че лицето, за което е проверила информацията е мъж, който е починал и за неговата починала съпруга, като и двамата били от Панагюрище, както и за децата и внуците им, като мъжът, който е поискал информацията е предоставил данните по ЕГН. След това била поискана информация и за друго ЕГН, като то било на мъж, който имал една дъщеря. Посочено е, че е минало време между случая и изискването на информацията за него, поради това и предвид преживения стрес от служителя, не е било възможно да бъдат предоставени имената на лицата, за които е поискана проверка по ЕГН. С писмо изх.№ 27.05.2025г. Комисията е изискала справка от Главна дирекция „ГРАО“ относно всички осъществени със служебен достъп справки в „Национална база данни“ от служителят на [населено място] на дата 22.10.2024г. между 9.30ч. и 11.00ч. Информацията е предоставена от ГРАО с писмо с вх.№ от 03.06.2025г. От справката е констатирано, че са направени общо девет броя справки за посочения период, като са направени справки за 8 лица и за едното от тях справки са направени два пъти. От Комисията с писмо с изх.№ от 18.05.2025г. е изискано становище относно сигнала от кмета на О. П., предвид качеството на последния на длъжностно лице по гражданското състояние съгласно чл.44, ал.1, т.14 от Закона за местното самоуправление и местната администрация. Изискано е да бъде предоставено заверено копие на заповедта, с която тази функция е възложена от кмета на О. П. на служители на кметство [населено място], общ. Провадия. В отговор е постъпило писмо с вх. № от 29.06.2025г. от кмета на О. П., в което се съдържа становище и към което са приложени заверени копия на заповедите от последните три години, с които е възложено на кмета на [населено място] и на специалист в кметството на [населено място] да изпълняват функциите на длъжностни лица по гражданско състояние при стриктно спазване на разпоредбите на Закона за гражданската регистрация и Наредба № РД-02-20-9 от 21.05.2012г. за функционирането на Единната система за гражданска регистрация. При така установените факти, Комисията е цитирала разпоредбата на чл.4, ал.3 от Закона за гражданската регистрация и е посочила, че на основание чл.44, ал.1, т.14 от ЗМСМА със заповед № 203/21.01.2025г. на кмета на О. П. е възложено по населени места и на конкретни длъжностни лица да изпълняват функциите на длъжностни лица по гражданско състояние и гражданска регистрация. Комисията е посочила, че съгласно легалната дефиниция разписана в чл.4, т.7 от Регламент (ЕС) 2016/679, О. П. е администратор на лични данни. Констатирала е, че Община Провадия в качеството на администратор на лични данни съгласно чл.4, ал.7 и 8 от Регламент (ЕС) 2016/679 при осъществяването на дейността си не е отчела естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, като не са приложени подходящи технически и организационни мерки, гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване, в резултат на което е осъществен неправомерен достъп до лични данни (три имена, ЕГН, постоянен, настоящ адрес на лицето и роднинските му връзки по права линия и семейно положение) на 8 физически лица, с което са нарушени разпоредбите на Член 32 от Регламент (ЕС) 2016/679 та Европейския парламент и на Съвета. Комисията е посочила, че разполага с оперативна самостоятелност, като преценява кое от своите корективни правомощия по чл.58, §2 от Регламент (ЕС) 2016/679 да реализира. Посочено е, че преценката се основава на съображенията за целенасоченост, целесъобразност и ефективност на решението, като следвало да издаде акт, който в най-пълна степен да защитава обществения интерес. Анализирани са правомощията на Комисията по Член 58, §2 от Регламент (ЕС) 2016/679 и целите на Регламент (ЕС) 2016/679 и ЗЗЛД и е изведено, че в конкретния случай следва да се приложи мярката по Член 58, §2, б.и от Регламент (ЕС) 2016/679 – налагането на имуществена санкция. Комисията е посочила, че в Член 83, §4, буква „а“ от Регламент (ЕС) 2016/679 е посочен максималния размер на санкцията за извършеното нарушение – 10 млн. евро. Комисията за защита на личните данни е посочила, че внимателно е изследвала характера на нарушението, противоправните последици, които могат да настъпят с неговото извършване, като се е запознала и с ГФО на общината. Констатираните от административния орган факти не се оспорват от жалбоподателя, установяват се от приложените доказателства към административната преписка, поради което съдът ги възприема. В административната преписка са налични: докладна записка от държавен инспектор в отдел КАНП № ППН-02-110#11/10.07.2025г., съдържащ констатациите и изводите относно извършената от Комисията проверка и предложение да се наложи имуществена санкция на Община Провадия на основание Член 83, §4, б.“а“ във връзка с Член 32, §1, буква „б“ и буква „г“ и Член 32, §2 от Регламент (ЕС) 2016/679, т.к. Община Провадия, в качеството на администратор на лични данни, съгласно Член 4, ал.7 и ал.8 от Регламент (ЕС) 2016/679 не е отчела естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, като не е приложила подходящи технически и организационни мерки, гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите да обработване, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение до неограничен кръг лица на лични данни (три имена, ЕГН, постоянен, настоящ адрес на лицето и неговите роднински връзки по права линия и семейно положение) на 8 физически лица.; Протокол № 46 от заседание на Комисията за защита на личните данни от 17 юли 2025г., на което е взето решение по т.3 да бъде наложена санкция на Община Провадия. В хода на съдебното производство са представени доказателства от жалбоподателя, между които декларация на специалистът в [населено място], че е дал съгласие за обработването на личните му данни и, че е запознат с правата му като субект на лични данни и заповед от 30.10.2020г. за утвърждаване на „Политика за защита на личните данни на администратора на лични данни Община Провадия“. Представени са становища и доклади за дейността на Комисията за защита на личните данни. Ответникът в хода на съдебното производство предоставя данни за бюджета на Община Провадия, за обосноваване на размера на наложената санкция. Съдът констатира, че „Политика за защита на личните данни на администратора на лични данни Община Провадия“ е поставена на сайта на Община Провадия, публично достъпна е и това е факт, който не се нуждае от доказване. Изискана е от съда справка от НБД, от която се констатира, че част от осемте лица, а именно - три, на които са предоставени личните данни на неизвестното лице, са починали. Горните факти се установяват от доказателствата към административната преписка и от представените в съдебното производство. Съдът намира за неоснователно възражението на жалбоподателят, че не е администратор на лични данни. Съгласно легалната дефиниция дадена в Член 4, т. 7 от Регламент (ЕС) 2016/679 „„администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.“ В случая общината е публичен орган и обработва лични данни съгласно правото на Съюза, националното законодателство и приетите от общината правила, т.е. попада в обхвата на понятието „администратор“ на лични данни съгласно Регламент (ЕС) 2016/679. Съгласно чл.12, ал.4 от ЗЗЛД „Проверки се извършват по инициатива на комисията, по жалба на заинтересовани лица или след подаден сигнал.“ Съгласно чл.87, ал.1 от ЗЗЛД „Извън случаите по чл.38, ал.1, установяването на нарушенията на Регламент (ЕС) 2016/679 или на този закон, издаването, обжалването и изпълнението на наказателните постановления се извършват по реда на Закона за административните нарушения и наказания.“ Съгласно чл.87, ал.3 от ЗЗЛД „Наказателните постановления се издават от председателя на комисията, съответно от главния инспектор или от оправомощени от него инспектори.“ Съгласно чл.38, ал.1 от ЗЗЛД „При нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му.“ Съгласно чл.50, ал.1, ал.2 и ал.4 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация „Когато в хода на проверка по чл. 12, ал. 4 от ЗЗЛД, с изключение на проверка по чл. 37, ал. 2, се констатират данни за административно нарушение, прилагането на мярката „налагане на административно наказание „глоба“ или „имуществена санкция“ по чл. 58, параграф 2, буква „и“ от Регламент (ЕС) 2016/679 и глава девета от ЗЗЛД се осъществява по реда на Закона за административните нарушения и наказания (ЗАНН).“, „Установяването на нарушенията, издаването, обжалването и изпълнението на наказателните постановления се извършват по реда на ЗАНН.“ и „Наказателните постановления се издават от председателя на КЗЛД.“ От данните за образуването на производството пред КЗЛД се констатира, че не е образувано по жалба на лице, чиито права по Регламент (ЕС) 2016/679 са нарушени, а по сигнал на Прокуратурата на Република България. От това следва, че производството пред комисията не е по специалния ред по чл.38 от ЗЗЛД, а е по общия ред, регламентиран в чл.12, ал.4 от ЗЗЛД. Анализът на цитираните по – горе норми налага извод, че при констатирано при този тип проверка от Комисията нарушение по Регламент (ЕС) 2016/679 по арг. от чл.87, ал.1 от ЗЗЛД вр. чл.50, ал.1, ал.2 и ал.4 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, осъществилото нарушението лице се санкционира с наказателно постановление издадено по реда на ЗАНН. Предвид направената констатация за извършено нарушение по Регламент (ЕС) 2016/679 по арг. от чл.87, ал.1 от ЗЗЛД, редът за налагането на санкцията е по ЗАНН, чрез издаване на НП. Оплакването на жалбоподателя, че санкцията му е наложена не по предвидения от закона ред се явява основателно. Наказанието в случая е наложено с решение на Комисията (колективен орган), вместо с НП издадено от председателя на комисията, съответно от главния инспектор или от оправомощени от него инспектори, каквото е изискването на чл.87, ал.3 от ЗЗЛД. Налага се извод, че актът е издаден от некомпетентен орган, поради което е нищожен и по арг. от чл.172, ал.2 от АПК съдът следва да обяви неговата нищожност. За пълнота на изложението съдът следва да разгледа и останалите възражения в жалбата. От данните по делото се констатира, че нарушението е извършено на дата 22.10.2024г., когато специалистът от [населено място] е предоставил личните данни на 8 лица, на неизвестно лице, чрез справка по телефон. Съгласно чл.34, ал.1 от ЗАНН „Не се образува административнонаказателно производство, ако не е съставен акт за установяване на нарушението в продължение на три месеца от откриване на нарушителя или ако е изтекла една година от извършване на нарушението, а за митнически, данъчни, екологични и валутни нарушения, както и по Изборния кодекс, Закона за политическите партии, Закона за публичното предлагане на ценни книжа, Закона за пазарите на финансови инструменти, Закона за дружествата със специална инвестиционна цел и за дружествата за секюритизация, Закона за прилагане на мерките срещу пазарните злоупотреби с финансови инструменти, Закона за дейността на колективните инвестиционни схеми и на други предприятия за колективно инвестиране, част втора, част втора „а“ и част трета от Кодекса за социално осигуряване, Кодекса за застраховането, Закона за пазарите на криптоактиви и на нормативните актове по прилагането им и по Закона за регистър БУЛСТАТ - две години“. Съдът констатира, че нарушението не е измежду тези, срокът за съставяне на АУАН, за които е две години. Съдът констатира, че не е съставен АУАН, в който да са констатирани фактите относно извършеното нарушение по Регламент (ЕС) 2016/679 в срока от три месеца по чл.34, ал.1 от ЗАНН от постъпването на сигнала от Прокуратурата на Република България в КЗЛД. Изобщо не е съставян АУАН за констатираното от Комисията нарушение. От това, следва че не е спазен процесуалния закон при издаването на оспореното решение. При неспазването на срока по чл.34 от ЗАНН за съставянето на АУАН административнонаказателното производство следва да бъде прекратено, а не да бъде издадено решение на КЗЛД, с което да бъде наложена имуществена санкция на общината. От съдържанието на оспореният административен акт се констатира, че санкцията е наложена за това, че Община Провадия в качеството на администратор на лични данни съгласно чл.4, ал.7 и 8 от Регламент (ЕС) 2016/679 при осъществяването на дейността си не е отчела естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, като не са приложени подходящи технически и организационни мерки, гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване, в резултат на което е осъществен неправомерен достъп до лични данни (три имена, ЕГН, постоянен, настоящ адрес на лицето и роднинските му връзки по права линия и семейно положение) на 8 физически лица, с което са нарушени разпоредбите на Член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета. От това описание на нарушението не става ясно за какво точно нарушение е наложена санкцията на Община Провадия – дали за това, че е предоставен неправомерен достъп до данни на физически лица на лице по телефон от специалист в общината или за това че не са приложени подходящи технически и организационни мерки, гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване, т.к. общината не е отчела естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица. Не е ясно дали общината е санкционирана за това, че не е приела правила относно защитата на личните данни или че е приела такива („Политика за защита на личните данни на администратора на лични данни Община Провадия“), но същите са неефективни или че е приела правила за защитата на личните данни, но не е обучила служителите да ги спазват или пък ги е обучила, но не е проверявано спазването на правилата. Т.е. не са описани в решението на Комисията съставомерните признаци на деянието/ деянията, за които е наложена санкцията. В този смисъл основателно е оплакването на жалбоподателя, че не е ясно за какво деяние или деяния е наказан и дали е наказан само за това, че са предоставени неправомерно данните на 8 физически лица или и за това, че не е създал необходимата нормативна база и условия гарантиращи постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване и предоставяне на лични данни на физическите лица. На следващо място, основателно е оплакването на жалбоподателя, че част от физическите лица, чиито лични данни са предоставени неправомерно, а именно три, са починали към датата на предоставянето на личните им данни, поради което това предоставяне на лични данни не попада в обхвата на Регламент (ЕС) 2016/679 по арг. от съображение 27 („(27)Настоящият регламент не следва да се прилага за личните данни на починали лица. Държавите членки могат да предвидят правила във връзка с обработването на лични данни на починали лица.“) и съображение 160 („