Решение № 27053 от 11.8.2025 г. на Административен съд - София-град по дело № 5863/2025 г.

Производството е образувано по жалба на А. Д. А., чрез адв. В., срещу Решение № ППН-01-840/08.05.2025г. на Комисията за защита на личните данни, с което се обявява жалба от А. Д. А. за недопустима по отношение на БНБ, и производството е прекратено в тази част, и за неоснователна по отношение на „ОББ“ АД. Жалбоподателят посочва, че личните му данни не са обработвани на основание чл.6, §1 от Регламент ЕС/2016/679, като в обжалваното решение не е посочено и кое от основанията по тази разпоредба КЗЛД счита, че е налице. Не е налице съгласие на жалбоподателя да се обработват личните му данни, тъй като същият не е подписвал такова и даже е възразил срещу обработката им. Не са налице и договорни отношения с „ОББ“ АД, тъй като жалбоподателя не е подписвал с банката договор за кредит. В този смисъл неправилно не са кредитирани съдебно-почеркови експертизи, които установяват, че жалбоподателят не е полагал подпис под такъв договор и съпътстващите го документи. В обратен смисъл е постановено решение № ППН-01-574 от 27.02.2025г. на КЗЛД по сходен казус със същия жалбоподател, по което същите експертизи са кредитирани. В случай, че Комисията е счела, че не следва да ги кредитира като събрани в хода на други производства, е следвало сама да възложи такава по реда на ГПК. След като жалбоподателят не е подписал договор за кредит, той не е страна по такъв и независимо от това дали договорът е действителен или не, „ОББ“ АД не е следвало да подава негови лични данни до ЦКР. За банката не се е породило задължение да го прави, тъй като информация до ЦКР се подава за кредитна задлъжнялост на клиенти, какъвто жалбоподателят не е. неправилно е прието от КЗЛД, че жалбата срещу БНБ е недопустима, защото тя, като институция, осъществяваща контрол по чл.25 и чл. 26 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър е била длъжна да преустанови достъпа на „ОББ“ АД до Централния кредитен регистър за извършване на справки за кредитна задлъжнялост на клиентите до подаване на коректна информация за жалбоподателя. КЗЛД може да упражнява контрол за спазване на посочения регламент и върху БНБ. Поради това се моли съда да отмени процесното решение на КЗЛД. Претендира разноски. Подробни съображения излага в писмени бележки по съществото на спора. Ответникът – КЗЛД, редовно призована, чрез процесуалния си представител оспорва жалбата. Моли същата да бъде отхвърлена като неоснователна. Претендира юрисконсултско възнаграждение. Прави възражение за прекомерност. Подробни съображения излага в писмени бележки по съществото на спора. Заинтересованата страна – “О. Б. банка“ АД, редовно призована, в отговор от 17.06.2025г. оспорва жалбата. Счита, че процесното решение е издадено от компетентен орган при спазване на процесуалния и материалния закон. До приключване на отношенията с жалбоподателя като клиент на банката, същата е длъжна да подава към ЦКР информация за кредитната му задлъжнялост. Към датата на подаване на тази информация липсват категорични доказателства, че жалбоподателят не е страна по договора за кредит, защото нито договорът е обявен за недействителен, нито наказателното производство е приключило. Поради това се моли съда да отхвърли жалбата. Претендира се юрисконсултско възнаграждение. Заинтересованата страна Българска народна банка, редовно призована, счита жалбата за неоснователна, защото КЗЛД няма правомощия да контролира БНБ. Подробни съображения излага в писмени бележки. Претендира юрисконсултско възнаграждение. Административен съд София-град, като взе предвид изложеното в жалбата, становищата на страните и събраните по делото писмени доказателства, прие за установено следното от фактическа страна: Производството пред КЗЛД е образувано по жалба с рег.№ППН-01-840/05.12.2022г., подадена от А. Д. А. срещу “О. Б. банка“ АД, в която се сочи, че банката, в нарушение на правилата за защита на личните данни, неправомерно е подавала негови лични данни до Централния кредитен регистър, при условие, че не е клиент на “О. Б. банка“ АД и не е давал съгласие за това. Жалбоподателят твърди, че за нарушението е узнал на 24.11.2022 г., когато му е била издадена от БНБ справка за кредитна задлъжнялост. Същата е приложена към жалбата. С молба от 04.04.2023г. жалбоподателят е уточнил, че оплакванията му към БНБ са за неосъществен контрол върху подадените от „ОББ“ АД данни, а оплакванията му срещу „ОББ“ АД са за незаконно обработване на личните му данни и невярна информация, че дължи 41 541, 28лв. просрочия по заем в „ОББ“ АД и потребителски кредит от същата банка за 50 000лв. В представено от “О. Б. банка“ АД становище по жалбата от 12.06.2023г. се сочи, че е направила на 13.01.2022г. справка в Централния кредитен регистър във връзка с просрочие от м. март 2021г. по кредит в банката на името на А. А. и по-конкретно с цел преценка дали и какви действия да бъдат предприети във връзка със събирането на задълженията по кредита. Сочи, че по случая има образувано досъдебно производство, което не е приключило, поради което обработването на данните на жалбоподателя е сведено до минимум, като той е уведомен, че същите ще бъдат заличени след като това производство приключи. В представено от БНБ становище на 13.06.2023г. е посочено, че данните на жалбоподателя правилно са обработвани чрез подаване на информация и справки в ЦКР, защото същият е в договорни отношения с „ОББ“ АД и тази банка има законово задължение да обработва личните му данни. БНБ не може да разрешава спорове дали подадената информация в случая е дължима или не, защото това е от компетентността на съда. В представено от “О. Б. банка“ АД становище от 19.03.2025г. се сочи, че жалбоподателят е клиент на банката по договор за потребителски кредит № LD2022010138 от 07.08.2020г. за сумата от 50 000лв., за изпълнението на който банката е подавала регулярна информация до ЦКР. В молба от 24.06.2025г. ЗС уточнява, че договор № LD2022010138 от 07.08.2020г. е идентичен с договор № 20R-L447997 от същата дата. Съгласно чл.22 от договора банката обработва личните данни на кредитополучателя, получени и генерирани във връзка със сключване на договора и във връзка с изпълнение на неговия предмет и упражняване на правата на кредитор. С подписване на договора кредитополучателя декларира, че е запознат с правилата на банката за обработване на лични данни, които включват основанията за обработването им, категориите лични данни и целите на обработването, получателите, на които могат да се предоставят, и сроковете за съхранение. Кредитът е просрочен над 360 дни, и към 30.09.2022г. е с остатък от 41 541, 28лв. редовна главница и 6 144, 62лв. остатък просрочена главница. В становище на БНБ от 20.03.2025г. се посочва, че за отчетен период 31.05.2021г. - 30.09.2022г. „ОББ“ АД е подавала ежемесечна информация в ИС на ЦКР за договор № LD2022010138 от 07.08.2020г. в изпълнение на задълженията си по чл. 10 от Наредба № 22 от 16.07.2009 г. Последната е подадена на 12.10.2022г. Тази информация се съхранява за срок от 5 год. от датата на последния отчетен период. С молба от 28.03.2025г. жалбоподателят е представил заверено копие от протокол на съдебно-почеркова експертиза № 9-Е/11.01.2023г., изготвена по досъдебно производство № 513 ЗМИП 5079/2021г. по описа на СДВР, според т. 9.18-31 от която подписите в графи „кредитополучател“ на искане, декларации, съгласия, копие на лична карта, методика за изчисляване на референтен лихвен процент, погасителен план и процесния договор не са положени от А. Д. А.. Представен е и протокол № 2021/ДОК-202 от 18.11.2021г. на съдебно-почеркова експертиза, изготвена от МВР – НИК по възлагане от КЗЛД с писмо от 16.09.2021г. във връзка с друга преписка, касаеща друг вид обработване на личните данни на жалбоподателя по същия договор със същата банка. Според т.9.2. от експертизата подписите за „кредитополучател“ на процесния договор, на методиката за изчисляване на референтен лихвен процент и декларации и съгласия, предхождащи сключването на договора, не са положени от А. Д. А.. По делото е приложено решение № ППН-01-829 от 26.04.2022г. на КЗЛД, постановено по жалба на А. № ППН-01-829 от 30.11.2020г., с което е прието, че подписите в процедурата по сключване на договор за кредит с банка „ДСК“ АД не е положен от А.. Изводът е направен въз основа на заключение на вещото лице по цитирания по-горе протокол № 2021/ДОК-202 от 18.11.2021г. на съдебно-почеркова експертиза. Поради това е прието, че „ДСК“ АД незаконосъобразно е обработвала личните му данни по предоставяне на кредит, за което й е наложена имуществена санкция за нарушение на чл.6, §1, б."а" от Регламент 2016/679. Това решение е потвърдено с влязло в сила решение № 3441 от 26.05.2023г. по адм. дело № 4973/2022г. на АССГ. По делото е приложено решение № ППН-01-863 от 14.10.2024г. на КЗЛД, постановено по жалба на А. № ППН-01-863 от 03.12.2020г., с което е прието, че подписите в процедурата по сключване на договор за кредит от 07.08.2020г. с „Юробанк България“ АД не е положен от А.. Изводът е направен въз основа на заключение на вещото лице по цитирания по-горе протокол № 2021/ДОК-202 от 18.11.2021г. на съдебно-почеркова експертиза. Поради това „Юробанк България“ АД незаконосъобразно е обработвала личните му данни по предоставяне на кредит, за което й е наложена имуществена санкция за нарушение на чл.5, §1 от Регламент 2016/679 и й е разпоредено да ограничи обработването на лични данни на жалбоподателя. Това решение е оспорено, като по жалбата е образувано адм. дело № 876/2025г. на АССГ - висящо. По делото е приложено решение № ППН-01-574 от 27.02.2025г. на КЗЛД, постановено по жалба на А. № ППН-01-574 от 28.07.2021г., с което е прието, че подписът под същия договор за кредит не е положен от А.. Поради това е прието, че „ОББ“ АД незаконосъобразно е обработвала личните му данни като ги е предоставила за извънсъдебно събиране на кредита на „Ей Ес Джи Кълекшън“ ООД. Поради това на банката е отправено официално предупреждение за нарушение на чл.5, §1, б. „а“ от Регламент 2016/679. Приложено и е решение № 14545 от 12.08.2024г. по адм. дело № 3100/2024г. на АССГ, с което е отхвърлена жалбата на А. срещу решение № ППН-01-527/2022г. на КЗЛД. С последното жалбата му срещу „ОББ“ АД за достъпване на 13.01.2022г. на негови лични данни, съдържащи се в ЦКР за същия кредит, е отхвърлена като неоснователна, тъй като обработката на данните е на основание чл.6, §1, б. „е“ от Регламент 2016/679. Решението не е влязло в сила. След като жалба с peг. № ППН-01-840/05.12.2022г. е разгледана в открито заседание на КЗЛД, проведено на 03.04.2025г., е постановено Решение № ППН-01-840/08.05.2025г. на Комисия за защита на личните данни. С него жалбата спрямо „ОББ“ АД е приета за неоснователна, защото същата е кредитна институция, която има задължение да подава данни към информационната система на ЦКР и право да ползва такива за целите, за които е включена в системата. В тази връзка законосъобразно и на основание чл.6, §1, буква в) и д) от Регламент (ЕС) 2016/679 е извършена процесната обработка на данни – подаване на информация в ЦКР за кредитната задлъжнялост на А. по договор за кредит № LD2022010138 от 07.08.2020г. съгласно справка на л. 38 от адм. дело № 2554/2024г. Информацията е подадена на основание чл. 10, ал.1 от Наредба № 22 от 16.07.2009г. Същата е подадена и за изпълнение на задача от обществени интерес, предвид необходимостта и другите кредитни институции да достъпват информация за кредитната задлъжнялост на лицата, вписани в ЦКР, с цел защита на интересите им. Това е така, защото посоченият договор за кредит не е обявен за недействителен с влязло в сила съдебно решение, а КЗЛД няма компетентност да се произнася по този въпрос. Прието е още, че експертизите, приети в други производства, не обвързват КЗЛД в процесното производство. Предвид горното обработването на данните е счетено за съобразно с принципа на законност по чл.5, §1, буква а) от Регламента. Жалбата срещу БНБ е приета за недопустима, защото КЗЛД няма нито право, нито задължение да осъществява контрол върху БНБ. Решението е съобщено на жалбоподателя на 12.05.2025г., като жалбата срещу него е подадена на 22.05.2025г. При така установеното фактически и след като извърши дължимата на основание чл.168, ал.1 от АПК проверка за законосъобразност на оспорения акт на всички основания по чл.146 от АПК, съдът приема от правна страна следното: Жалбата е процесуално допустима, като подадена от надлежна страна, при наличие на правен интерес, срещу подлежащ на обжалване административен акт и в преклузивния срок по чл.38, ал.8 от ЗЗЛД. По същество, същата е неоснователна по следните съображения: Съгласно чл. 6, ал. 1 ЗЗЛД, КЗЛД е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон. Тази своя функция комисията осъществява упражнявайки предоставени от закона правомощия, посочени в чл. 10, ал. 1 ЗЗЛД. Този административен орган е оправомощен да разглежда жалби срещу актове и действия на администраторите, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон - чл. 10, ал. 1 във вр. с чл. 57 от Регламент (ЕС) 2016/679. За реализирането на тези правомощия законодателят е предвидил правомощия на комисията като колективен орган /чл. 38 ЗЗЛД/. Съгласно чл. 7, ал. 1 ЗЗЛД комисията е колегиален орган и се състои от председател и 4-ма членове, а според ал.2 на същата разпоредба членовете на комисията и председателят й се избират от Народното събрание по предложение на Министерския съвет за срок 5 години и могат да бъдат преизбирани за още един мандат. Председателят и членовете на комисията изпълняват функциите си и след изтичането на мандата им до избора на новите председател и членове. В случая решението е подписано от членове на КЗЛД, назначени с решение НС от 15.04.2014г., които са продължили да изпълняват функциите си до избора на нови членове с решение на НС от 09.05.2025г. Съгласно чл. 9, ал. 3 ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й. В конкретния случай оспореното решение е прието на заседание на комисията, проведено на 03.04.2025 г., на което са присъствали председателя и трима членове, с единодушие, като същите са подписали оспорения акт /чл. 7, ал. 1 ЗЗЛД във връзка с чл. 4, ал. 1 от Правилника за дейността на КЗЛД и нейната администрация/. Следователно процесното решение е постановено от компетентен орган. Доколкото в приложимия специален закон липсват конкретни изисквания за формата и съдържанието на акта, са спазени предвидените в чл.59 от АПК общи изисквания. Същият е издаден в изискуемата писмена форма и съдържа задължителните реквизити, регламентирани в ал.2 на чл.59 от АПК, в т.ч. фактическите и правните основания за издаването му, даващи възможност за упражняване на контрол за законосъобразност от съда и гарантиращи правото на защита на жалбоподателя. При постановяване на оспорения акт не са допуснати нарушения на административно производствените правила, които да съставляват самостоятелно основание за отмяната му. Жалбата, въз основа на която е образувано производството, е подадена в предвидения в чл.38, ал.1 ЗЗЛД срок. При произнасяне по съществото на спора са обсъдени представените по преписката писмени доказателства, както и изразените становища по отправените в жалбата твърдения. Правото на защита на участниците в производството не е ограничено, тъй като е гарантирано тяхното участие в административното производство. Решението е постановено след като е предоставена възможност на страните да изразят становище и представят писмени доказателства съобразно чл.36 АПК. Предвид това съдът намира, че липсват предпоставки за отмяна на атакувания ИАА по смисъла на чл.168, ал.1 във връзка с чл.146, т.3 АПК. Решението е постановено и при правилно приложение на материалния закон. Съгласно чл.4, т.1 от Регламент (ЕС) 2016/679 относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, „лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни”); физическо лице, което може да бъде идентифицирано, е лице, което може бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Според чл.4, т.2 от Регламента, „обработване на лични данни“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Безспорно е в случая, че като е подала данни от Централния кредитен регистър, “О. Б. банка“ АД е обработила лични данни на А. Д. А.. Основният спор по делото е дали това е станало на легитимно основание. Според принципите, заложени в чл.5, §1 от Регламент (ЕС) 2016/679, личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните и подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват /„свеждане на данните до минимум"/. Съгласно чл.6, §1 от Регламент (ЕС) 2016/679 обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия: a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. В настоящия случай съдът намира за доказани твърденията на жалбоподателя, че не е подписвал договора за кредит и това е станало без неговото знание и съгласие. Това е безспорно установено в две почеркови експертизи, които макар и да са назначени в други производства, касаят същият договор и преддоговорна документация. На това основание съдът приема, че е не е налице основание за обработване на личните данни на жалбоподателя по чл.6, пар.1, б.“а“ от Регламента. Не е налице и основанието по чл.6, пар.1, б.“б“ от Регламента, доколкото конкретното обработване – подаване на справка за кредитна задлъжнялост до ЦКР, не е с цел сключването или изпълнението на договор. Тези изводи обаче са ирелевантни, защото не на тези основания ответникът е отхвърлил жалбата. В този смисъл не може да се прави аналогия с други решения на комисията, представени по делото, защото те касаят друг вид обработка на данните на жалбоподателя, респ. изводите за законосъобразността или не на тази обработка са подведени под други разпоредби на посочения регламент. В случая ответникът е приел, че е налице основанието по чл.6, пар.1, б.“в“ от Регламента, тъй като за администратора съществува законово задължение по чл. 56, ал.2 от Закона за кредитните институции и чл.10, ал.1, и 3 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър. Според чл. 56, ал.2 от ЗКИ институциите по ал. 1, т. 1, каквато е „ОББ“ АД, са длъжни да предоставят информация в сроковете и съгласно изискванията, определени в наредбата по ал. 4. В чл.10, ал.1 и 3 от тази наредба е предвидено, че институциите по чл. 4, ал. 1, сред които и банките, са длъжни да събират и подават към Централния кредитен регистър информация в електронен вид за всички кредити на техните клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване. Информацията се подава ежемесечно до 15-о число на месеца, следващ отчетния, и касае състоянието по всички активни кредити на техни клиенти към последната дата на отчетния месец. Те подават в същия срок и информация за извършените корекции по кредити на техни клиенти за предходни отчетни периоди. В случая съществува договор за кредит, като спорът относно неговата действителност не е решен по съдебен ред от гражданския съд по реда на чл. 26 и сл. от ЗЗД. Поради това следва да се приеме, че като е подавала справка в ЦКР относно кредитната задлъжнялост на жалбоподателя, „ОББ“ АД е изпълнявала своето законово задължение. Недействителността на договора не се констатира служебно, а изходът от воденото досъдебно производство не е относим към този спор. Докато договорът за кредит не бъде прогласен за нищожен поради липса на съгласие, същият съществува и поражда формални задължения за банката. Поради това съдът приема, че личните данни на жалбоподателя са обработени в съответствие с основанието по чл.6, пар.1, б.“в“ от Регламента. Същото се отнася и до основанието по чл.6, пар.1, б.“д“ от Регламента. Изпълнението на възложени законови задължения винаги представлява упражняване на официални правомощия, предоставени на носителя на задължението. Несъмнено подаването на процесната справка е и от обществен интерес, доколкото по този начин другите кредитни институции имат възможност да се снабдят с информация за кредитните възможности на кредитополучателите и тяхната коректност при изпълнението на кредитите, с оглед отпускане на обезпечени и сигурни кредити, което от своя страна защитава не само сигурността на влоговете в тези банки, но и на цялата банкова система. Поради това съдът споделя извода на КЗЛД, че обработването на данните е извършено съобразно принципа на законност по чл.5, §1, буква а) от Регламента. Предвид изложеното, съдът приема, че обжалваното Решение № ППН-01-840/08.05.2025г. на Комисията за защита на личните данни, с което се обявява жалба от А. Д. А. за неоснователна по отношение на „ОББ“ АД, е законосъобразно, поради което жалбата срещу него следва да бъде отхвърлена като неоснователна. Същото се отнася и до частта от решението на КЗЛД, с което се обявява жалба от А. Д. А. за недопустима по отношение на БНБ, тъй като комисията няма правомощия за контрол над БНБ. Съгласно чл. 44, ал.1 от ЗБНБ при упражняване на правомощията и изпълнение на задълженията си по този закон Българската народна банка, управителят и членовете на управителния съвет са независими и нямат право да искат или да приемат указания от институциите, органите, службите или агенциите на Европейския съюз, от Министерския съвет или от правителствата на други държави – членки на Европейския съюз, както и от други органи и институции. Министерският съвет и другите органи и институции по изречение първо нямат право да оказват влияние на Българската народна банка, на управителя или членовете на управителния съвет. В конкретния случай БНБ упражнява само надзорни правомощия по отношение на подаването на информация до ЦКР и съгласно чл. 56, ал.2 от ЗКР не носи отговорност за вреди във връзка със съхраняваната в системата информация, предоставяна от институциите по ал.1, вкл. банките. Поради това същата не е извършвала обработка на личните данни на жалбоподателя, за да бъде привлечена като страна в спора пред КЗЛД и правилно спрямо нея производството е прекратено. При този изход на делото, на основание чл.143, ал.3 и ал.4 АПК, на ответника по жалбата и на заинтересованите страни се следват разноски за юрисконсултско възнаграждение в размера по чл.24 от Наредбата за заплащане на правната помощ – по 100лв. Мотивиран така и на основание чл.172, ал.2 от АПК, Административен съд София – град, Второ отделение, 41 състав