Решение № 9261 от 17.3.2025 г. на Административен съд - София-град по дело № 9878/2024 г.

Производството е по реда на чл. 145 и сл. от Административно-процесуалния кодекс /АПК/ във връзка с чл. 38, ал. 8 от Закона за защита на личните данни /ЗЗЛД/. Образувано е по жалба „Изи Асет Мениджмънт“ АД чрез изп. директори Г. Т. и А. М. срещу Решение № ППН-01-319/2022 от 05.09.2024 г. на Комисията за защита на личните данни /КЗЛД, Комисията/ в ЧАСТТА по т. 2, 3, 4 и 6 /след уточнение/. Иска се обявяване нищожност на решението, както и отмяната му като неправилно и необосновано. Твърди се, че КЗЛД е издала административния акт в нелегитимен състав. Посочва се, че при приемана на решението не са взети предвид всички събрани доказателства. В съдебно заседание се представлява от юрк. Б., който поддържа жалбата. Претендира юрисконсултско възнаграждение. Ответникът – Комисия за защита на личните данни, в писмено становище, депозирано по делото на 14.02.2025 г., оспорва жалбата Намира, че обжалваното решение е постановено от компетентен орган, спазена е установената форма, не са допуснати нарушения на административнопроизводствените правила и е законосъобразно. Претендира заплащане на юрисконсултско възнаграждение. В съдебно заседание ответникът не изпраща представител. Заинтересованата страна М. М. Г., не взема участие в производството. Заинтересованата страна „АГЕНЦИЯ ЗА КОНТРОЛ НА ПРОСРОЧЕНИТЕ ЗАДЪЛЖЕНИЯ“ АД, моли за потвърждаване на оспореното решение в частта му по т. 1. Моли за присъждане на разноски по делото. В съдебно заседание заинтересованата страна не изпраща представител. Заинтересованата страна „ФАЙНЕНШЪЛ [държава]“ ЕООД не взема участие в производството. Софийска градска прокуратура, редовно уведомена, не взема участие в производството. Административен съд София град, след като обсъди релевираните с жалбата основания, доводите на страните, прецени събраните по делото доказателства по реда на чл. 235 ГПК във вр. с чл. 144 АПК и служебно, на основание чл. 168, ал. 1 вр. с чл. 146 АПК провери изцяло законосъобразността на обжалвания акт в оспорената част, намира следното от фактическа и правна страна: Административното производство е образувано пред КЗЛД по жалба № ППН-01-319 от 17.05.2022 г. подадена от М. М. Г. /л.16/. В жалбата се посочва, че от справка на Централния кредитен регистър от 05.05.2022 г. жалбоподателката установила, че на нейно име е изтеглен и усвоен потребителски кредит № 4071412 с кредитор “Изи Асет Мениджмънт” АД, вземането по който е цедирано на “Агенция за контрол на просрочени задължения” ООД на 01.10.2021 г. Жалбоподателката твърди, че не е подписвала договор за потребителски кредит с кредитора лично или чрез пълномощник и не е била в други отношения с дружеството. Била уведомена, че кредитът е отпуснат на лице, което се е легитимирало с нейна лична карта. Твърди, че документът за самоличност е откраднат на 20.12.20216 г., за което е подаден сигнал в I-во Районно полицейско управление и е обявен за невалиден съгласно удостоверение с рег. № 22500-8649 от 29.12.2016 г. Посочва, че дружеството отказало да ѝ предостави документите по кредита. Моли да бъде извършена проверка и да бъдат защитени правата ѝ, а виновните лица да бъдат санкционирани. В становище № ППН-01-319 #5 от 05.09.2022 г. /л. 29/ до Комисията „Агенция за контрол на просрочени задължения“ АД възразява, че производството следва да бъде прекратено по отношение на дружеството, тъй като в жалбата липсват данни за извършени от него нарушения на правилата за защита на личните данни. Твърди, че към момента на цедиране на вземането по договора за кредит няма индикация за невалидност на личната карта, а за да бъде сключен договорът за кредит следва да е извършена проверка в Регистър български документи за самоличност RegiX. Посочва, че след получаване на сигнала от М. М. Г. е извършена проверка и поради съмнения за извършена злоупотреба с лични данни, договорът за цесия с “Изи Асет Мениджмънт“ АД е развален на 18.05.2022 г. и са предприети действия кредитът да бъде подаден към БНБ като приключен, за които обстоятелства жалбоподателката е уведомена на следващия ден. Моли за прекратяване на преписката спрямо дружеството. Становище с вх. рег. № ППН-01-319 #6 от 05.09.2022 г. до Комисията е депозирало и “Изи Асет Мениджмънт“ АД /л. 42/. Твърди се, че в офис на дружеството лице с личната карта на жалбоподателката е сключило договор за паричен заем, по силата на който му е отпусната сумата от 350 /триста и петдесет/ лева. При идентификацията на лицето е проверена пластиката на документа за самоличност, заверено копие от който е предоставен на кредитиращото дружество. Направена е справка в системата на дружеството, както и в регистъра на български документи за самоличност чрез системата за междурегистров обмен RegiX. Съгласно Политиката на защита на личните данни на “Изи Асет Мениджмънт“ АД справка за валидност на представените лични карти се правела или в системата RegiX или на сайта на МВР. Твърди, че по сигнала на М. М. Г. е извършена проверка от страна на дирекция „Корпоративна сигурност“ на дружеството и били предприети мерки за обявяване на кредита за „фиктивен“ и връщане на документите от страна на цесионера. Посочва, че след получаване на молбата ѝ, дружеството насочило М. Г. да се насочи към компетентните власти. При работата си като администратор на лични данни “Изи Асет Мениджмънт“ АД е разработило редица правила при отпускане и приключване на кредити, при работа с документи, продажба на кредитни продукти. Твърди, че в изпълнение на чл. 13 от Общия регламент за защита на личните данни е предоставило на М. М. Г. необходимата информация. КЗЛД в заседание, проведено на 01.03.2023 г. /л. 81/, е обявила жалбата за допустима, като страни са конституирани жалбоподателката М. М. Г., а като ответни страни “Изи Асет Мениджмънт“ АД, „Агенция за контрол на просрочени задължения“ АД и „Файненшъл [държава]“ АД. За взетото решение страните са надлежно уведомени, като им е указано и предоставена възможността да се запознаят със събраните по преписката материали, ангажират доказателства, да направят доказателствени искания С цел събиране на доказателства са проведени заседания на 18.05. /л.81/, 06.07. /л.69/ и 13.07.2022 г. Производството е приключено на 29.09.2022 г. /л.40/ с постановяване на единодушно решение от присъстващите членове. Постъпило е становище от „Файненшъл [държава]“ АД с вх. № ППН-01-319 # 29/22/ от 03.04.2023 г. на Комисията /л. 128 / по подадена от М. М. Г. жалба. Твърди се, че договорът за кредит е сключен в офис на “Изи Асет Мениджмънт“ АД, едновременно с договор за поръчителство. В изпълнение на поетите задължения по договора за поръчителство, поради неизпълнение на задълженията на М. М. Г. по кредита, „Файненшъл [държава]“ АД е заплатило на кредитора дължимите суми, за което представя банково извлечение от 04.10.2021 г. Акцентира, че дружеството не фигурира в първоначално подадената от М. М. Г. жалба до КЗЛД. С обжалваното решение на КЗЛД /л. 403/ в т.1 сезиращата жалба с peг. № ППН-01-319 от 17.05.2022 г., подадена от М. М. Г., срещу „Агенция за контрол на просрочени задължения“ АД е обявена за неоснователна; в т. 2 жалбата е обявена за основателна спрямо “Изи Асет Мениджмънт“ АД и “Файненшъл [държава]“ ЕООД. С т. 3 от решението на основание чл. 58, § 2, буква г) от Регламент (ЕС) 2016/679 за нарушение на чл. 32, § 1, буква г) от Регламент (ЕС) 2016/679 Комисията разпорежда на “Изи Асет Мениджмънт“ АД, в качеството му на администратор на лични данни, да въведе процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационни мерки с оглед гарантиране спазването на сигурността на данните. С т.4, допълнително към мярката по т. 3 и на основание чл. 83, § 4, буква а) вр. чл. 58, § 2, буква и) от Регламент (ЕС) 2016/679, на “Изи Асет Мениджмънт“ АД е наложена имуществена санкция в размер на 5 000 (пет хиляди) лева. С т. 5 на основание чл. 58, § 2, буква г) от Регламент (ЕС) 2016/679 за нарушение на чл. 24 от Регламент (ЕС) 2016/679 КЗЛД разпорежда на “Файненшъл [държава]“ ЕООД да въведе организационни мерки за защита на личните данни да въведе подходящи технически и организационни мерки за защита на личните данни и в частност правила за идентификация и верификация на личните данни на физически лица в контекста на сключване на договори на поръчителство. С т.6 е определен тримесечен срок, считано от датата на влизане в сила на настоящото решение, за изпълнение на всяко едно от разпорежданията по поотделно като за изпълнение на разпорежданията администраторите на лични данни са задължени да уведомят КЗЛД като представят съответни доказателства. При горните фактически установявания съдът формира следните правни изводи: Жалбата е допустима като подадена срещу акт, който подлежи на съдебен контрол, в преклузивния срок за оспорване, от лице, което е адресат на административния акт и чиято правна сфера актът засяга негативно. Разгледана по същество, жалбата е неоснователна. Оспореният административен акт е издаден от компетентен орган – КЗЛД, в рамките на предоставените й с чл. 6, ал. 1 във връзка с чл. 38, ал. 3 ЗЗЛД и чл. 58, § 2 от Регламент (ЕС) 2016/679 правомощия. Комисията, която се състои от председател и 4 членове, приема решенията си с мнозинство от общия брой членове /чл. 9, ал. 3 и чл. 7, ал. 1 от ЗЗЛД/, като решенията ѝ се подписват от всички членове, участвали в гласуването. Спазено е изискването за кворум за приема на решението, доколкото оспореното решение е прието и подписано от председателя и от трима от членовете на Комисията. Същите действат при условията на чл. 7, ал. 2 ЗЗЛД, съгласно който председателят и членовете на Комисията изпълняват функциите си и след изтичането на мандата им до избора на новите председател и членове. Посочената разпоредба изцяло отговаря на изискването въведено с Регламент (ЕС) 2016/679 за наличие на конкретна национална правна уредба, която да регламентира въпроса с продължителността на мандата на КЗЛД. В този смисъл не се споделят възраженията на жалбоподателя за нелегитимност на административния орган и нищожност на оспореното решение. Не са налице предпоставките по чл. 146, т. 1 АПК. Решението е обективирано в изискуемата писмена форма и доколкото липсват специални изисквания за това, решението съдържа посочените в чл. 52, ал.2 АПК реквизити и по - конкретно фактически и правни основания за издаването на акта, както и разпоредителна част. Налице е съответствие между обстоятелствената част и диспозитива на оспорения акт, като разпореденото с решението изцяло съответства на изложените фактически обстоятелства. При издаването на акта не са допуснати нарушения на административнопроизводствените правила от категорията на съществените, които да са самостоятелно основание за отмяна на административния акт. Производството пред КЗЛД е инициирано по жалба на засегнатото физическо лице, а като ответници са конституирани „Файненшъл [държава]“ АД, „Изи Асет Мениджмънт“ АД и „Агенция за контрол на просрочени задължения“ АД. Дадена е възможност на страните да участват в производството като изразят становище и представят писмени доказателства (чл. 36 АПК). Административният акт е издаден след разглеждане на жалбата по същество в открито заседание, съгласно изискванията на чл. 9, ал. 4 ЗЗЛД и чл. 40, ал. 1 от Правилника за дейността на КЗЛД и нейната администрация и е приет с мнозинство от членовете на административния орган (чл. 9, ал. 3 ЗЗЛД). Решението е постановено и при правилно приложение на материалния закон. Съгласно чл. 4, т. 1 от Регламент (ЕС) 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни”); физическо лице, което може да бъде идентифицирано, е лице, което може бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Според чл. 4, т. 2 от Регламента, „обработване на лични данни“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Както се посочва в чл. 32, § 1, б. „г“ от Регламента, като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът на лични данни прилага подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Спорът по делото се свежда до това дали е изпълнено изискването по отношение на „Изи Асет Мениджмънт“ АД за редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки, които да се гарантира сигурността на обработването при изискванията, въведени с чл. 32, § 1, б. „г“ от Регламента, както и съответно законосъобразно ли е наложена санкцията във връзка с констатираното неизпълнение на това задължение. Безспорно между страните по делото е, че „Изи Асет Мениджмънт“ АД е небанкова финансова институция и като такава е вписана в Регистъра на финансовите институции на БНБ по чл. 3а от ЗКИ. Безспорно при осъществяване на дейността си дружеството отговаря на изискванията за администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 с произтичащите от това задължения. В дейността по кредитиране дружеството извършва съхранение, извличане, предаване на лични данни, тоест обработва лични данни. В член 24, §1 и § 2 от Регламента са разписани основните задължения на администратора да въведе подходящи технически и организационни мерки, посредством които да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с изискванията на регламента. Когато това е пропорционално на дейностите по обработване, мерки включват прилагане от страна на администратора на подходящи политики за защита на данните. Предвидено е и задължението мерките да се преразглеждат, а при необходимост да се актуализират. Така разписаните механизми имат за цел да гарантират спазването на основаните принципи въведени с чл. 5 от Регламент (ЕС) 2016/679 във връзка с обработването на лични данни. “Изи Асет Мениджмънт“ АД, наред с вътрешните актовете, които приема за да регулират дейността му като „Инструкция за проверка на пластиката на лична карта“, „Процедура за Продажба на кредитни продукти“, „Предложение за сключване на договор за паричен заем“ и др., е въвело в работата си и „Политика за защита на личните данни“ и „Споразумение за обработване на лични данни между съвместни оператори“ от 10.07.2019 г., с които дружеството да създаде условия за изпълнение на изискванията на Регламента относно обработването. Видно от представеното по преписката на КЗЛД удостоверение от МВР, лична карта № 645917531, изд. на 02.07.2015 г. от МВР – София, на М. М. Г., е обявена за невалидна на 21.12.2016 г. от МВР. Сключен е Договор за паричен заем № 4071412 от 24.02.2021 г., между М. М. Г. и “Изи Асет Мениджмънт“ АД, както и договор за поръчителство по договора за заем от същата дата. В двата договора физическото лице е индивидуализирано с данните по лична карта № 645917531, изд. на 02.07.2015 г. от МВР – София, приложено е и копие от личната карта, която към датата на сключване на договорите е невалидна. В случая, засегнати са данни за име, ЕГН, копие на лична карта, месторождение, телефон, електронна поща, снимка на лицето, постоянен адрес. Безспорно предоставената на финансовата институция информация за М. Г., посочена като кредитополучател, представлява лични данни на лицето по смисъла на чл. 4, т. 1 от Регламент (ЕС) 2016/679, посредством които то лесно би могло да бъде идентифицирано. Поради това обработването на тази информация следва да се подчинява на специалните изискванията на Регламент (ЕС) 2016/679 и ЗЗЛД. В случая при сключване на договор за кредит с М. Г., правилата, които са въведени от “Изи Асет Мениджмънт“ АД, не са били достатъчно ефективни, за да предотвратят неправомерното обработване на лични данни. От обясненията на кредитния консултант А. П., приела искането за отпускане на кредит, става ясно, че още при представяне на личната карта от страна на лицето, поискало отпускането на кредита, на кредитния консултант е направило впечатление, че няма прилика между снимката и лицето. От представените по преписката доказателства не става ясно кои процедури за идентификация са изпълнени, какви лични данни са събрани, сравнени и какви са били резултатите от това. Тази проверка на идентичността на кредитоискателя е важна не само за да се гарантира връщането на кредита, но и за да се гарантира, че са изпълнени изискванията Регламент (ЕС) 2016/679 към администратора на лични данни за идентифициране на лицето, чиито лични данни се обработват. Тази проверка също така гарантира, че личните данни се обработват след като е изпълнено изискването на регламента за даване на съгласие, както и че лицето, чиито данни са обект на обработката, би могло да упражни и останалите си права по Регламент (ЕС) 2016/679 като право на достъп, право на изтриване („да бъдеш забравен“), право на ограничаване на достъпа и др. От писмото на Национален осигурителен институт и Българска народна банка до КЗДЛ става ясно, че към месец февруари 2021 г. не е осъществяван достъп до данни на М. Г. от страна на “Изи Асет Мениджмънт“ ЕАД, тоест проверка в техните регистри не е извършвана. Установено е, че на “Изи Асет Мениджмънт“ АД е осигурен достъп до Регистър “Български документи за самоличност“ - справка за лице по документ за самоличност, чрез RegiX, съгласно Заповед № ДАЕУ-1181 от 24.01.2019 г. Администраторът не представя доказателства да е извършена такава проверка. Твърди, че е имало проблем с достъпа до регистъра, но и за това обстоятелство липсват доказателства. Не става ясно и защо е отпуснат кредитът без тази проверка. В случая се констатира липсата на доказателства за надлежно, ефективно извършени действия по идентификация на лицето, за липса на последващ контрол върху такива действия, все задължения на администратора на лични данни. Неизпълнението на задължението за идентификация на лицето, чиито данни се обработват крие редица рискове, както е посочено и в съображенията към Регламента като загуба на контрол над данните, кражба на идентичност, настъпване на имуществени и неимуществени вреди и др. Тези негативни последици биха били избегнати, ако администраторът на лични данни беше изпълнил задълженията си, когато е целесъобразно, да извършва редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационните мерки, за да се гарантира сигурността на обработването, като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Администраторът и обработващият лични данни следва да прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност. Извършването на такава оценка на риска има за цел да гарантира сигурността и да се предотврати обработване, което е в нарушение на Регламент (ЕС) 2016/679. Няма данни такива регулярни оценки на риска да са извършвани от “Изи Асет Мениджмънт“ АД. Както се посочва в съображение 83 от регламента, при оценката на риска за сигурността на данните следва да се разгледат рисковете, произтичащи от обработването на лични данни, като случайно или неправомерно унищожаване, загуба, промяна, неправомерно разкриване, или достъп до предадени, съхранявани или обработвани по друг начин лични данни, което може по-конкретно да доведе до физически, материални или нематериални вреди. Безспорно в случая от така очертаната дейност на дружеството и неговите служители е налице висок риск за сигурността на личните данни, доколкото биха могли да настъпят непосредствени имуществени, както и неимуществени вреди за лицата - кредитополучатели, чиито лични данни се обработват. Потвърждение за това е и настъпването на неблагоприятните последици за М. Г., а именно личните ѝ данни да са използвани без нейно съгласие за отпускане на кредит. Ако тя не бе сезирала компетентните държавни органи, биха настъпили и имуществени вреди. От страна на кредитиращото дружеството не е извършвано и редовно изпитване, преценяване и оценка на ефективността и въздействието на въведените технически и организационните мерки за да се гарантира сигурността на обработването. Липсва периодична оценка какви са нивата на достъп до публични регистри за проверка на идентичността на лицата, чиито лични данни са обработва, както и оценка изпълняват ли се и ефективни ли са въведените процедури и проверки, които извършват служителите при одобряване на кредити. Не са предприети ефикасни мерки, които да обезпечат ефективно обработване на личните данни, които включително биха ограничили настъпването на неблагоприятните последици за М. Г.. Прави впечатление и че такива ефективни действия не са предприети дори след подаване на сигнала от същата. От представения Констативен протокол за извършена проверка от страна на „Изи Асет Мениджмънт“ АД на 23.05.2023 г. става ясно, че извън констатиране на нарушенията на кредитния консултант липсва оценка на риска за личните данни на кредитоискателката, не е извършен анализ на въведените от администратора на лични данни правила и не са направени изводи за предприемане на подходящи технически и организационни мерки за ограничаване на подобни нежелани нарушения на процедурите по обработка на лични данни. В този смисъл правилен е изводът на Комисията за основателност на подадената от М. М. Г. жалба срещу “Изи Асет Мениджмънт“ АД - администратор на лични данни. „Файненшъл [държава]“ ЕООД не е обжалвало решението и спрямо дружеството актът е влязъл в сила. Комисията разполага с оперативна самостоятелност и в съответствие с предоставените ѝ функции преценява кое от корективните правомощия по чл. 58, ал. 2 от Регламент (ЕС) 2016/679 да упражни. Същите имат характера на принудителни административни мерки и с прилагането им се цели да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне целеното поведение в областта на защитата на личните данни. Преценката кое от тях да се наложи следва да се основава на съображенията за целесъобразност и ефективност, както и отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес, каквато преценка в случая е направена. В допълнение на тези корективни правомощия могат да бъдат прилагани предвидените в б. "и" на чл. 58, § 2 от Регламента „глоба“ или „имуществена санкция“. Преценката следва да се основава на съображения за целесъобразност и ефективност, при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес. Наложената санкция е законосъобразна, доколкото разпоредбата на чл. 83, § 4, б. „а“ от Регламент (ЕС) 2016/679 е санкционна именно за нарушаване и на чл. 32, § 1, б. „г“ от регламента. Правилно е определен видът на наложената санкция, а при определянето на размера ѝ са изложени подробни, ясни и точни мотиви, които обосновават извод за ефективност, целесъобразност и пропорционалност на мярката спрямо констатираното нарушение. Посочени са и съображения от органа, свързани с тежестта на извършеното нарушение. Съдът приема, че размерът на санкцията е съразмерен с тежестта и продължителността на нарушението и е определен в съответствие с принципите, установени чл. 83, § 1 от Регламент /ЕС/ 2016/679. Въз основа на горното съдът приема, че оспореният административен акт в оспорената му част е законосъобразен – издаден при отсъствие на отменителните основания по чл.146 АПК, съответно подадената срещу него жалба е неоснователна и следва да бъде отхвърлена. При този изход на делото и предвид навременно отправената претенция, на ответника се следват разноски за юрисконсултско възнаграждение. Същото следва да бъде определено в размер на 100 лева на основание чл. 24 НЗПП във вр. чл. 37 ЗПП и чл.143, ал.3 АПК, с оглед фактическата и правна сложност на делото. Претенцията на заинтересованата страна „Агенция за контрол на просрочени задължения“ АД за разноски е неоснователна, доколкото решението в частта му по т. 1, отнасяща се до дружеството, не е обжалвано и е влязло в сила. По изложените съображения и на основание чл. 172, ал.2 АПК Административен съд София град, Второ отделение, 24 състав