Решение № 35002 от 24.10.2025 г. на Административен съд - София-град по дело № 5603/2025 г.

Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс /АПК/, във връзка с чл.38, ал.8 от Закона за защита на личните данни /ЗЗЛД/. Образувано е по жалба на „ВИВАКОМ БЪЛГАРИЯ“ ЕАД срещу Решение № ППН-01-251/2024 г. от 27.03.2025 г. на Комисията за защита на личните данни /КЗЛД/, с което на основание чл.38, ал.3 и чл.10, ал.1 ЗЗЛД във връзка с чл.57, § 1, б.„е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) жалба с peг. № ППН-01-251/21.03.2024 г., подадена от К. Н. Н. срещу „ВИВАКОМ БЪЛГАРИЯ“ ЕАД е обявена за основателна; за нарушение на чл. 6, § 1 във вр. с чл. 32, §1 б. „б“ от Регламента и на основание чл. 58, § 2, буква „г“, е наложена корективна мярка на администратора да направи оценка на риска и да предприеме организационни и технически мерки за предотвратяване такъв вид допуснати нарушения; за нарушение по чл. 6, § 1 от Регламент (ЕС) 2016/679 на осн. чл. 58, §2, б. „и“ във вр. с чл. 83, §5 от Регламент (ЕС) 2016/679 е наложена на администратора „ВИВАКОМ БЪЛГАРИЯ“ ЕАД имуществена санкция в размер на 10000 лева; определен е срок за изпълнение на издаденото разпореждане - едномесечен от влизането на решението в сила, след което да уведоми комисията за изпълнението като представи съответните относими доказателства. Жалбоподателят моли за отмяната на оспорения акт като незаконосъобразен – издаден при неправилно приложение на материалния закон и допуснати съществени нарушения на административнопроизводствените правила. Административният орган не бил отчел, че към К. Н. Н. и И. Г. били извършени компенсации, както и че срещу служителя, извършил нарушението било открито дисциплинарно производство и наложено дисциплинарно наказание „забележка“. Административният акт бил издаден в нарушение на принципа по чл. 35 от АПК за издаване на административния акт след изследване на всички факти и обстоятелства, които са от значение за случая доколкото административният орган не е изискал допълнителни доказателства във връзка с извършена оценка на риска, нито с предприетите мерки за защита. Акцентира, че неоснователно от настъпилото събитие КЗЛД е направила извод, че предприетите мерки за защита са достатъчни без собствен анализ. Риск базираният подход показвал ниска степен на риск от настъпване на вредоносни последици. Твърди, че наложената имуществена санкция била определена незаконосъобразно, а именно че били обработени нечувствителни лични данни и били предприети корективни мерки. В съдебно заседание изложеното в жалбата и направеното с нея искане се поддържат чрез юрк. К.. Ответникът по оспорването чрез юрк. Н. в съдебно заседание, моли за отхвърляне на жалбата като неоснователна. Претендира присъждане на юрисконсултско възнаграждение. В становище, депозирано по делото на 29.09.2025 г. посочва, че компенсаторните мерки, предприети повече от месец след подаване на жалбата до комисията не санират извършеното нарушение, а дисциплинарното производство, предприето по отношение на служителя, извършил нарушението, определя като неотносимо. Посочва, че решения по дело С-802/21 и С-683/21 са неотносими. Акцентира, че наложените корективни мерки са пропорционални, предвид броя предоставяни услуги и клиенти. Заинтересованата страна К. Н. Н., редовно и своевременно призована, не се явява и не се представлява в съдебно заседание, не ангажира становище по жалбата. Прокурор от Софийска градска прокуратура, редовно призована, не взема участие в производството по делото и не изразява становище по законосъобразността на оспорения акт. Административен съд София-град, след като обсъди релевираните с жалбата доводи и прецени събраните по делото доказателства, приема за установено следното от фактическа страна: Административното производство е образувано по жалба на К. Н. Н., заведена в КЗЛД на 21.03.2024 г. с изложени оплаквания, че при заплащане на месечна фактура при „ВИВАКОМ БЪЛГАРИЯ“ ЕАД установила, че без съгласието й е вписана като страна в тристранно споразумение между оператора и Т. Д., в качеството на заместван абонат, без да се е съгласявала с това, както и без да е дала съгласие за използване на личните й данни. С писмо изх. № ППН-01-251/2024 г. #4 на КЗЛД жалбоподателят „ВИВАКОМ БЪЛГАРИЯ“ ЕАД е уведомен за образуваното производство и му е предоставена възможност да изрази писмено становище по жалбата, както и да представи доказателства. В депозираното на 03.07.2024 г. писмено становище, „ВИВАКОМ БЪЛГАРИЯ“ ЕАД посочва, че причината за погрешното поместване на личните данни на К. Н. Н. в тристранното споразумение между И. Л., Т. Д. и „ВИВАКОМ БЪЛГАРИЯ“ ЕАД е техническа грешка на служител на дружеството. Тристранното споразумение било върнато от И. Л., която подписала декларация за неразкриване на лични данни. На К. Н. Н. била предоставена компенсация от три месечни абонамента и било открито дисциплинарно производство срещу служителя, допуснал грешката. С писмо изх. № ППН-01-251/2024 г. #10 от 19.09.2024 г. КЗЛД предоставила на жалбоподателя възможност да се запознае с материалите по преписката и му е указано, че има възможност да ангажира допълнителни доказателства в подкрепа на твърденията си. На 18.12.2024 г. е проведено заседание на КЗЛД, на което жалбата е разгледана по същество и е взето решение на основание чл.83, § 5, буква „и“ от Общия регламент за защита на личните данни, с което е наложена на дружеството, в качеството му на администратор на лични данни, имуществена санкция в размер в размер на 10 000 лв. за нарушение на чл.6, § 1 от Регламента и на основание чл.58, § 2, буква „г“ за нарушение на чл.6, § 1 от Регламента е приложена корективна мярка като е дадено предписание „ВИВАКОМ БЪЛГАРИЯ“ ЕАД да направи оценка на риска и предприеме организационни и технически мерки за предотвратяване на допуснатите нарушения. Решението е обективирано в Протокол № 54/18.12.2024г. Въз основа на така установеното съдът обосновава следните правни изводи: Жалбата е допустима като подадена срещу подлежащ на оспорване индивидуален административен акт, от лице, което е негов адресат и чиято правна сфера той засяга неблагоприятно. Спазен е преклузивният 14-дневен срок за обжалване, доколкото оспореното решение е връчено на жалбоподателя на 31.03.2025г. /л. 79 по делото/, а жалбата срещу него е подадена на 17.04.2025 г. Разгледана по същество, жалбата е неоснователна. Като извърши дължимата на основание чл.168, ал.1 АПК проверка за законосъобразност на оспорения акт освен на основанията, сочени от оспорващия, на всички основания по чл.146 АПК съдът приема следното: Оспореното в настоящото производство решение е издадено от компетентен административен орган – КЗЛД в съответствие с предоставените й правомощия по чл.38, ал.1 и ал.3 ЗЗЛД и чл.40, ал.2 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /Правилника/. Съгласно чл.9, ал.3 ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й /чл.7, ал.1 от ЗЗЛД - председател и 4 членове/. Решението следва да бъде подписано от всички членове, участвали в гласуването. Спазено е изискването за кворум, доколкото на проведеното на 18.12.2024г. открито заседание са присъствали председателят на Комисията и трима от членовете й /чл.8, ал.6 ПДКЗЛДНА/. Лицата, участвали в това заседание, са положили подписите си под оспорваното решение, взето с изискуемото мнозинство /4 гласа „за”, 0 гласа „против”/. Спазено е изискването за форма на административния акт като същият съдържа изискуемите по чл.59, ал.2 АПК реквизити, в т.ч. са посочени фактическите основания за приемането му, което е предпоставка за упражняване от съда на контрол за материална законосъобразност на акта. Не се установяват допуснати нарушения на административнопроизводствените правила, които да бъдат определени като съществени и съответно да мотивират отмяната на акта само на това основание. Производството е образувано по редовна и допустима жалба, преценено от органа с нарочно решение, разгледана е в открито заседание като решението на комисията е обективирано в протокол, въз основа на който е постановен оспореният акт. Съгласно разпоредбата на чл.38, ал.1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. В настоящия случай административното производство е образувано по жалба на К. Н. Н., заведена в КЗЛД на 21.03.2024 г. Спазен е и другият срок, регламентиран в посочената разпоредба, а именно двугодишен от извършване на нарушението. Жалбата на К. Н. Н. е приета за редовна и допустима с оглед което е образувана преписка по нея, за което тя е своевременно уведомена. Уведомен е също така жалбоподателят като му е предоставен срок за депозиране на становище и относими доказателства. С оглед горното комисията е приела, че са събрани всички относими към случая доказателства и е насрочила разглеждането на преписката по същество в открито заседание на 18.12.2024г., за когато са призовани страните. В проведеното открито заседание страните не са взели участие като след запознаване и обсъждане на жалбата, становището на ответната страна и доказателствата, комисията е приела жалбата за основателна като решението й е обективирано в Протокол № 54/18.12.2024г. Последвало е издаването на оспорения акт, който съдът намира за съответен на материалния закон. Според дадените легални дефиниции на понятията "лични данни" и "обработване" в чл.4, § 1 и § 2 от Регламента, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице, а "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В случая „ВИВАКОМ БЪЛГАРИЯ“ ЕАД е обработило личните данни на К. Н. Н. в качеството му на администратор на лични данни – такъв според дефиницията по чл.4 от регламента е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Безспорно установено по делото е, че личните данни на К. Н. Н. в обем три имена, адрес и ЕГН, се съдържат тристранното споразумение. За да е законосъобразно това обработване следва да е налице поне едно от основанията, предвидени в чл.6, § 1 от регламента, а именно: а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. От доказателствата по делото се потвърждава възприетото от административния орган, че в случая не е налице нито една от тези хипотези, съответно личните данни на К. Н. Н. са обработени от администратора „ВИВАКОМ БЪЛГАРИЯ“ ЕАД незаконосъобразно, в нарушение на чл.6, § 1 от регламента. Във всички свои становища по преписката администраторът не оспорва това обстоятелство с уточнението, че е в резултат на допусната грешка. Съгласно основните принципи, въведени с чл. 5, §1 от Регламент (ЕС) 2016/679 личните данни следва да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“); събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели („ограничение на целите“); подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“); точни; съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; („ограничение на съхранението“); обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“). В случая се констатира, че не са предприети действия за спазване на тези изисквания от страна на администратора на лични данни. Неоснователно намира съдът възражението на жалбоподателя, че административният орган не е изискал представяне на извършена оценка на риска, нито е отправено искане за допълнителни доказателства във връзка с предприетите мерки за защита, предвид обстоятелството, че жалбоподателят е бил уведомен за образуваното производство, двукратно му е указана възможността да ангажира доказателства, но такива не са представени нито с административната, нито в съдебната фаза на производството. Предвид това, правилно с оглед установеното нарушение административният орган е упражнил корективните правомощия по чл. 58, пар. 2 от Регламент (ЕС) 2016/679. Същите имат характера на принудителни административни мерки и имат за цел да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне целеното поведение в областта на защитата на личните данни. Преценката кое от тях да се наложи следва да се основава на съображенията за целесъобразност и ефективност, както и отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес, каквато преценка в случая е направена. В случая, комисията правилно е приела, че предвид естеството, тежестта и последиците от нарушението, най-целесъобразна и ефективна мярка би била имуществената санкция. Размерът от 10 000 лева е определен при съобразяване на обстоятелството, че дружеството не попада в определението за малко и средно предприятие, както и че приходите на дружеството към 31.12.2022г. са 1165 милиона лева. При определяне на корективната мярка следва да бъде съобразена целта, която се преследва с налагането й и дали с изпълнението й тази цел ще бъде постигната. Обработвани са личните данни в обем - три имена и единен граждански номер. От обработването е засегнато едно лице. Не се установява да са въведени технически и организационни мерки в тази връзка от администратора, който да може да гарантира неизвършването на подобни нарушения за в бъдеще. Не са ангажирани в административното производство каквито и да било доказателства за взети мерки и осъществени проверки за предотвратяване на нарушения от този вид. С оглед това съдът намира, че видът на наложената санкция е определен правилно, а при определянето на размера ѝ са изложени подробни мотиви, които обосновават извод за ефективност, целесъобразност и пропорционалност на мярката спрямо констатираното нарушение. Изложени са и съображения от органа, свързани с тежестта на извършеното нарушение. Предвид констатациите на административния орган и липсата на доказателства ангажирани от администратора на лични данни в подкрепа на твърдението, че е извършена оценка на риска и че се налице вътрешни правила и организационни мерки, които да имат за цел да предотвратят констатираното нарушение, с цел да се осигури спазване на правилата на ОРЗД правилно е издаденото разпореждане на основание чл. 58, § 2, б. ”г” на „Виваком България“ ЕАД да съобрази операциите по обработване на лични данни с разпоредбите на чл. 32, § 1, б. „б“ и § 2 във връзка с чл. 6„ § 1 от Регламент (ЕС) 2016/679, за да бъдат съобразени действията на администратора при обработване на личните данни на физически лица като направи оценка на риска и да предприеме организационни и технически мерки за предотвратяване такъв вид допускани нарушения. По изложените съображения съдът приема, че оспореното решение представлява законосъобразен административен акт, по отношение на който не е налице някое от отменителните основания по чл.146 АПК, съответно жалбата, подадена срещу него се явява неоснователна и следва да бъде отхвърлена. При този изход на спора претенцията на ответника за присъждане на разноски за юрисконсултско възнаграждение е основателна като то следва да бъде определено на 100 лева, на основание чл.24 НЗПП, вр. чл.37 ЗПП, вр. чл.143, ал.3 АПК, с оглед липсата на правна и фактическа сложност на делото. Водим от горното и на основание чл.172, ал.2 и чл.143, ал.3 АПК, Административен съд София-град, Второ отделение, 40-ти състав