Решение № 11692 от 11.7.2024 г. на Административен съд - София-град по дело № 491/2024 г.

ОТХВЪРЛЯ жалбата на А. Д. А., срещу Решение № ППН-01-220/2022г. от 07.12.2023г. на Комисията за защита на личните данни /КЗЛД/, като НЕОСНОВАТЕЛНА. ОТХВЪРЛЯ жалбата на „УниКредит Булбанк“ АД, срещу Решение № ППН-01-220/2022г. от 07.12.2023г. на Комисията за защита на личните данни /КЗЛД/, като НЕОСНОВАТЕЛНА. ОСЪЖДА „УниКредит Булбанк“ АД, ЕИК[ЕИК], да заплати на Комисията за защита на личните данни /КЗЛД/, с адрес: [населено място], [улица], сумата от 50 /петдесет/ лева, разноски по делото- юрисконсултско възнаграждение за настоящата инстанция- АССГ. ОСЪЖДА А. Д. А., ЕГН [ЕГН], да заплати на Комисията за защита на личните данни /КЗЛД/, с адрес: [населено място], [улица], сумата от 50 /петдесет/ лева, разноски по делото- юрисконсултско възнаграждение за настоящата инстанция- АССГ. ОТХВЪРЛЯ искането на заинтересованата страна БНБ за присъждане на юрисконсултско възнаграждение, като НЕОСНОВАТЕЛНО. РЕШЕНИЕТО може да бъде обжалвано с касационна жалба в 14 – дневен срок от съобщаването му на страните чрез Административен съд София – град пред Върховния административен съд на Република България. ПРЕПИС от решението да се изпрати на страните по реда на чл. 138, ал. 3 във връзка с чл. 137 от АПК. СЪДИЯ: Производството е по реда на чл.145 и сл. АПК във връзка с чл.38, ал.8 от ЗЗЛД. Образувано е по две жалби. Първата жалба е подадена от А. Д. А., озаглавена неправилно „касационна жалба“, подадена против Решение на КЗЛД № ППН-01-220/22г. от 07.12.2023г. Счита, че с решението си административният орган не е взел предвид основни принципи на процеса, а именно чл.6, 7 и 8 от АПК, както и на ЗЗЛД и Регламент /ЕС/ 2016/679 от 27.04.2016г. Позовава се на становището на БНБ в хода на административното производство и се сочи, че ответният орган не е задал въпроса на „УниКредит Булбанк“ АД дали от тази кредитна институция смятат, че жалбоподателят А. Д. е техен клиент. Въпреки обсъжданите на 19 страници факти и обстоятелства, според жалбоподателя Д. органът е направил неправилни и превратни изводи. Коментират се взаимоотношения между БНБ и сигналоподатели. Споре жалбоподателя, „един одит в БНБ или в определена институция получила достъп до системата на ЦКР може по адекватен начин да докаже дали има злоупотреби, от какъв род са, в какъв размер са, дали има повторяемост от определени служители, дали има предаване на парола от един служител и друг служител ползва паролата му за достъп при осъществяване на достъпи до системата с бази данни на ЦКР и др. Заявява се, че КЗЛД отказват да дадат предписания в тази връзка, както по отношение на БНБ, така и спрямо „УниКредит Булбанк“ АД и „УниКредит Кънсюмър Файнансинг“ ЕАД. В жалбата се заявява, че по повод установената в хода на производството информация, жалбоподателят Д. счита, че от страна на УниКредит Булбанк АД са направили още едно закононарушение при обработването на лични данни, доколкото са го третирали и като клиент, освен извършването на нарушение свързано с предоставяне на лични данни на другата посочена кредитна институция. Сочат се и други висящи административни производства, свързани с нарушения при обработването на лични данни, някои от които са и не етап обжалване на административен акт пред съда. Описва се „изключително важно обстоятелство“ свързано с друго административно производство, а именно с рег.№ ППН-01-863/12 /20/ от 26.01.2022г. и обаждането от страна на юрисконсулт в състава на КЗЛД, който позвънил на жалбоподателя от непознат номер и го притеснил неморално с извънпроцесуални действия, с желание от негова страна да бъде дадено разрешение да се предадат личните му данни на частна медия- Нова телевизия, за да участва в предаване за банкови измами, с оглед предоставяне на своята гражданска позиция. Сочи се, че КЗЛД е отказала да издаде разпореждане на цитираните кредитни институции свързано с нарушение сигурността на личните му данни, вкл. да ограничат временно или окончателно обработването на такива лични данни и с отказа си за жалбоподателя са нарушени правата му по чл.7 от Регламента, както и според разпоредбите на чл.16, 17 и 18, респективно уведомяването за тези действия на получатели, пред които тези данни са били разкрити по реда на чл.17, §2 и чл.19. Според жалбоподателя Д. колективният административен орган неправилно е отказал и даването на консултация на кредитните институции, респективно от страна на Инспектората на КЗЛД да бъде сезиран съда за нарушения. Оспорва се произнасянето на КЗЛД, с което са оставени без уважение негови искания относно иницииране на консултация, както и за изискване на такова становище от графолог. В тази връзка, като краен резултат не били установени утежняващи обстоятелства, които да водят до извод, че следва да се наложи по-тежка санкция. Коментират се отношения между „Уникредит Кънсюмър Файненсинг“ ЕАД и цитирано „външо“ адвокатско дружество. Обсъдени са и други факти относно счетоводно прехвърляне на договор за заем, който не е подписан от жалбоподателя Д., с оглед установеното от експертиза по друго производство. Обсъждат се различни административни и съдебни производства. По отношение конкретната санкция, която е наложена, жалбоподателят Д. счита, че в оспореното решение КЗЛД не е изложила мотиви относно наличие на други сходни случаи, по които да е определна друг вид санкция или токлкова нисък размер на имуществена санкция, като настоящата., поради което решението е немотивирано и неподкрепено с доказателства. Иска се отмяна на решението на КЗЛД и изпращане на преписката на ответния орган с указания, тъй като наложената имуществена санкция според жалбоподателя Д. е нищожна /прекалено ниска като размер/, а според него глобата трябва да е според конкретния случай и според оборота на банката. Втората жалба /л.79 и сл./ е подадена от страна на „УниКредит Булбанк“ АД. Сочи се, че е незаконосъобразно решението на КЗЛД, с което е приета за основателна подадената от А. Д. жалба. Оспорва се противоправността на извършени справки от страна на втория жалбоподател в Централния кредитен регистър /ЦКР/, тъй като е кредитен посредник между А. Д. и „УниКредит Кънсюмър Файнансинг“ ЕАД. Позовава се на чл.56, ал.12 от ЗКИ, според която достъпът до ЦКР и извършените справки са осъществени законосъобразно от страна на банковата институция, по повод подадени жалби от А. Д.. Счита се, че налагането на санкцията е непраомерно, а поради наличие на множество смекчаващи обстоятелства, а именно целта на осъществените справки, т.е. да се предотврати евентуално неправомерно поведение срещу самия Д., а не за да му се навреди. В тази връзка намира налагането на санкцията за незаконосъобразно и се иска нейната отмяна, а в условието на евентуалност- да бъде намален размера. В проведеното открито съдебно заседание жалбоподателят Д., редовно призован, се явява лично и поддържа жалбата си, а вторият жалбоподател, също редовно призована /банковата институция/, се представлява от упълномощен процесуален представител- адвокат Д., която поддържа жалбата на банката. Претендират се разноски. Ответната страна – КЗЛД, редовно призована се представлява от юрк.Р., която оспорва и двете жалби. Излага се, че обжалваният акт е издаден от компетентен орган, в установената форма, при съблюдаване на реда за провеждане на административното производство и в съответствие с нормата на материалния закон. Иска се отхвърляне на жалбите и присъждане на юрисконсултско възнаграждение. В условието на евентуалност, прави възражение за прекомерност на претендирано адвокатско възнаграждение. Заинтересованата страна- БНБ, редовно призована, се представлява от упълномощен юрисконсулт. Претендира се юрк.възнаграждение. Прокурор от Софийска градска прокуратура, редовно призована, не взема участие в производството по делото и не изразява становище по законосъобразността на оспорения акт. Административен съд София-град, като обсъди релевираните с жалбата доводи и прецени събраните по делото доказателства по реда на чл. 235, ал. 2 ГПК във вр. с чл.144 АПК, приема за установено следното от фактическа страна: Комисията за защита на личните данни е сезирана с жалба (озаглавена молба) с per. № ППН-01-220 от 28.03.2022 г. подадена от А. Д. А. срещу “Уникредит Булбанк“ АД. В хода на административното производство са направени изявления и искания, както следва: Жалбоподателят Д. посочва, че “Уникредит Булбанк“ АД си е позволила да направи справки в Централен кредит регистър, воден от Българска народна банка, на дати 04.12.2020 г. в 13: 17 часа и 17.03.2021 г. в 17: 23 часа без правно основание за това. Поради това, се иска от Комисията за защита на личните данни “да заведе преписка срещу “Уникредит Булбанк“ АД, да наложи максимално наказание за злоупотребата му с лични данни, да му отговори в 30 дни и да покани дружеството на изслушване. Допълнително жалбоподателят уведомява Комисията за защита на личните данни, че е поискал сключването на извънсъдебно споразумение и изтриване на данните му, които искания не са удовлетворени от дружеството. Сочи, че Българска народна банка не защитава интересите му, тъй като не е предприела действия във връзка с жалбите му и че горното го ” наранява, че се страхува за правата и свободите си, че му причинява болки и страдания и че е претърпял нематериални и материални вреди”. Иска от Комисията за защита на личните данни да му бъдат заплатени вреди, размер на 50 000 лева по посочена от жалбоподателя сметка, а впоследствие н заплащането на вреди в размер от 100 000 лева. В следващо писмено изявление (о.з. от 12.10.2022 г. и следващите се писмени изявления), като искането се отнася както до ответната страна, така и до Българска народна банка.Иска от Комисията за защита на личните данни да направи проверка дали дружеството е подало уведомление ”за нарушение на сигурността на данните му”, да инициира консултация със служител по защита на личните данни на “Уникредит Булбанк“ АД, “Уникредит Кънсюмър Файненсинг“ ЕАД и Българска народна банка, да изиска становище от “Уникредит Булбанк“ АД защо след като са получили становище на графолог не са го информирали и не са информирали Комисията за защита на личните данни, както и не са заличили негови данни, защо Българска народна банка след като е знаела за нарушенията е премълчала същите. Иска да бъде наложена санкция на “Уникредит Булбанк“ АД и да бъде разпоредено на дружеството да “промени условията при обработка на лични документи, при актуализирането им и задължително залегналото в Регламента информиране на контролния орган при установяване на злоупотреба с лични данни и във формулярите да заложат точка, в която служителят обработващ съответния документ изрично се подписва, че е валидирал лицето визуално и е попълнил всички актуални данни, вкл. адрес и лични данни на лицето във формуляра на Българска народна банка и Българска народна банка да излезе с наредба това да е валидно за всички банки при извършване на ЦКР справка задължително да имат съгласието на субекта“, както и да заличи всички негови данни. Иска налагането на санкция и на Българска народна банка, привличането на същата като ответна страна и извъртането на проверка по твърдения за извършени от Българска народна банка нарушения. Въпреки, че жалбата е подадена по електронен път, но не е подписана с КЕП, идентична жалба е подадена на администрацията в Комисията за защита на личните данни /КЗЛД/, подписана със собственоръчен подпис, с което подадената жалба е приета от административния орган за редовна. Описани са приложенията към жалбата, а именно: справка от Българска народна банка от 11.03.2022 г., отговор от “Уникредит Булбанк“ АД от 15.06.2022 г., удостоверение от СДВР от 05.05.2022 г., постановление на СРП от дата 05.05.2022 г., отговор от 25.07.2022 г. на “Уникредит Булбанк“ по повод искането на А. да му бъдат заплатени суми, жалба от 04.12.2020 г., отговор от 15.06.2022 г., постановление от 17.02.2023 г. на СГС, покана за доброволно изпълнение от 05.04.2023 г., решение № 1130 от 07.03.2023 г. на СГС, искане, епикриза, отговор на Българска народна банка от 03.05.2023 г. Административният орган е изискал становище по жалбата от “Уникредит Булбанк“ АД. В становището се посочва, че са извършени две справки от дружеството в Централния кредитен регистър до данни на жалбоподателя, а именно на дата 04.12.2020 г. и на дата 17.03.2021 г. и същите са направени по повод подадени от него жалби от 04.12.2020 г. и 12.03.2021 г. до дружеството. Изтъква се, че тези проверки са част от цялостната проверка, която е извършена по жалбите на А. Д. А.. Банковата институция посочва, че справките са направени от служител М. И. на длъжност ’’Експерт разследване на измами” към звено ’’Разследване на измами при основни банкови дейности” при структура ’’Сигурност” и че основанието за извършването на тези справки е легитимния интерес на дружеството. Изразено е становище по жалбата от Българска народна банка, в което се посочва, че банката обработва съдържащите се в Централния кредитен регистър лични данни на основание чл. 6, § 1, буква в) и буква д) от Регламент (ЕС) 2016/679 и че изпълнява както изискванията на Регламента, така и на вътрешното законодателство във връзка с функционирането на Централния кредитен регистър. Съгласно заявеното в него, получатели на информация от информационната система на Централния кредитен регистър са съответните институции по чл.56, ал.1 от Закона за кредитните институции съобразно разпоредбата на чл. 56, ал. 2 и ал. 12 -14 от ц.з. във връзка с изпълнение на служебните им задължения и по повод конкретни проверки. От страна на БНБ се акцентира на факта, че тези институции са самостоятелни администратори на лични данни и че съобразно разпоредбата на чл. 56, ал. 13 от Закона за кредитните институции същите приемат и прилагат вътрешни правила за ефективен контрол върху оправомощените лица с право на достъп до Централния кредитен регистър и за въвеждане на вътрешна организация за спазване на нормативните изисквания. В хода на административното производство пред КЗЛД е установено, че въз основа на искане на А. Д. А. от 01.10.2021 г. подадено по реда на чл. 21а от Наредба № 22 за Централния кредитен регистър е издадена една справка от 11.03.2022 г. за период 2020- 2021г. относно институциите, които са осъществили достъп до лични данни на жалбоподателя и в която справка са отразени и извършените от “Уникредит Булбанк“ АД две проверки (процесиите) в Централния кредитен регистър. С решение на Комисията за защита на личните данни от проведено на дата 20.07.2022 г. заседание, обективирано в Протокол № 30/2022 г. жалбата е обявена за редовна и процесуално допустима за разглеждане по съображения свързани с това, че съдържанието на жалбата е съобразено с изискванията на чл. 28, ал. 1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация вр. с чл.29, ал.2 от АПК, жалбата е подадена от физическо лице, с правен интерес, съдържа твърдения за неправомерно обработване на лични данни в хипотезата на достъпване на такива в Централния кредитен регистър от “Уникредит Булбанк“ АД на 04.12.2020 г. в 13: 17 часа и на 17.03.2021 г. в 17: 23 часа, жалбата е подадена до компетентен орган, в нормативно установения срок и с оглед на това, че не са налице отрицателните предпоставки посочени в чл.27, ал.2 от АПК. Конституирани са като страни в производството: жалбоподател А. Д. А., ответна страна ’’Уникредит Булбанк” АД и заинтересована страна Българска народна банка, респективно е определена дата за разглеждане на жалбата в открито заседание, а именно на 13.09.2023 г., съобразно разпоредбата на чл.40, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, за което жалбоподателя, редовно уведомен, не се явява и не изпраща представител, ответната страна, редовно уведомена, се представлява от адв. А. Н. с пълномощно по преписката, заинтересованата страна, редовно уведомена, се представлява от юрисконсулт Ю. Щ. с пълномощно. По направените искания от страна на жалбоподателя за проверка дали ответната страна е подала уведомление ”за нарушение на сигурността на данните му”, за иницииране на консултация със служител по защита на личните данни на “Уникредит Булбанк“ АД, “Уникредит Кънсюмър Файненсинг“ ЕАД и Българска народна банка, за изискване на становище от “Уникредит Булбанк“ АД защо след като са получили становище на графолог не го информирали и не са информирали Комисията за защита на личните данни, както и не са заличили негови данни, защо Българска народна банка след като е знаела за нарушенията е премълчала същите, за заплащане на обезщетение от ответната и заинтересованата страна, за привличането на Българска народна банка като ответна страна и за разглеждането на нови твърдения за извършени нарушения, Комисията за защита на личните данни се е произнесла, като същите са оставени без уважение. Изрично е указано на жалбоподателя, че искането му за конституиране на БНБ като ответна страна е недопустимо, с оглед въведени нови твърдения и в този смисъл е недопустимо в това производство, а може да бъде предмет на друго производство заведено по съответния ред срещу това юридическо лице. Без уважение е оставено и искането за присъждане на обезщетение, доколкото е налице съвсем различен процесуален ред за това. При анализа на събраните в хода на административнотоп производство доказателства и съобразно установените факти, жалбата на А. Д. А. е приета за основателна. Посочено е, че ответната страна е кредитна институция, а в контекста на осъществяната от ответната страна търговска дейност като кредитна институция и съобразно разпоредбите на чл. 56, ал. 2 вр. ал. 1 от Закона за кредитните институции, чл. 4, ал. 1 от Наредба № 22 от 16 юли 2009 г. за Централния кредитен регистър, както и издадените на основание чл. 9, ал. 2 и § 6 от ПЗР на цитираната наредба указания за реда за включване, правила за работа и за изключване на институции от информационната система на Централния кредитен регистър от дата 20.03.2017 г. “Уникредит Булбанк“ АД е включен към информационната система на Централния кредитен регистър и има осигурен достъп до информация, съдържаща се в системата. Обсъдени са относимите норми относно статута на ЦКР и естеството на включените в него данни. Преценени са установените в производството факти, с оглед на това, че ответната страна е включена към информационната система на Централния кредитен регистър, а на дати 17.03.2021 г. и 04.12.2020 г. е направена справка в Централния кредитен регистър, съответно са достъпени данни за жалбоподателя. Изрично е изтъкнато, че въпреки указанията ответната страна не представя извлечение от специалния регистър по чл.19а, ал.2 от наредбата, от който да са видни данните за регистрираните проверки. Сочи се, че основание за извършените справки по предоставена от ответната страна информация са извършени проверки по подадени до дружеството 2 бр. жалби от А. А., определени от подателя, като възражения, съгласно Регламент (ЕС) 2016/679), съответно подадени на дати 04.12.2020 г. и 12.03.2021 г. Обсъдено е съдържанието на жалбата от дата 04.12.2020 г., от което се установява, че същата е с подател А. Д. А. и адресат „Уникредит Кънсюмър Файненсинг” ЕАД и ’’Уникредит Булбанк” АД и като всяко изявление на жалбоподателя същото се адресира и до други институции сред които и Комисията за защита на личните данни. От съдържанието на жалбата става ясно, че претенциите на жалбоподателя са свързани най-вече с дружеството „Уникредит Кънсюмър Файненсинг” във връзка с предоставена му от БНБ информация, че същия е кредитополучател по кредит, отпуснат от „Уникредит Кънсюмър Файненсинг” ЕАД. Цитира се съдържанието и на втората жалба от дата 12.03.2021 г. с подател А. А., в която по същество се доразвиват изявленията в първата жалбата, а с последната подателя се обръща към управителя на първото ’’Уникредит Кънсюмър Файненсинг” ЕАД. От съдържанието на същата става ясно, че жалбоподателя и тук има претенции именно към това дружество. Обсъдено е, че в съдържанието на жалбата е заявено за претърпени страдания, както и възможност за сключване на извънсъдебно споразумение с уточнението, че следващата стъпка за уреждане на спора е завеждане на дело. Съобразно подадените 2 бр. жалби банката е извършила на дати 04.12.2020 г. и 17.03.2021 г. справки за жалбоподателя в Централния кредитен регистър като тезата, която ответната страна застъпва пред Комисията за защита на личните данни е, че данните на жалбоподателя са достъпени в регистъра при условието на чл. 6, § 1, буква е) от Регламент (ЕС) 2016/679, а именно извършването на проверки по жалбите и в този смисъл намира, че е налице законосъобразно обработване на личните данни на жалбоподателя. Жалбоподателят А. Д. А. оспорва законосъобразността на извършените справки от ответната страна (достъпи) до Централния кредитен регистър за посочените цели - извършени проверки като застъпва тезата, че ответната страна няма право да извършва. В резултат на обсъдените факти и обстоятелства жалбата до КЗЛД е приета за основателна и на ответната страна /в административното производство/ е наложена имуществена санкция в размер на 5000 лева, на основание чл.83, §5, буква „а“, вр. с чл.58, §2, б. „а“ от ОРЗД. При така установените факти, Административен съд- СОФИЯ-ГРАД, в настоящият съдебен състав, обосновава следните правни изводи: Съдът намира и двете жалби за допустими, защото са предявени срещу подлежащ на оспорване пред съд административен акт, който неблагоприятно засяга правната сфера на оспорващия субект и в двата случая, с оглед на което за него е налице правен интерес от отмяната му. По отношение правният интерес на жалбоподателя Д. следва да се отбележи, че такъв е налице доколкото според заявеното в жалбата неправилното пилагане на закона води до налагане на несъразмерно наказание във връзка с нарушението при обработване на неговите лични данни и следва да се приеме, че неблагоприятно се засяга и неговата правна сфера, с оглед искането му да се наложи по-тежко наказание и да се дадат и други разпореждания от страна на административния орган по отношение на банковата институция-ответник. Спазен е и преклузивният 14-дневен срок за обжалване, т.е. оспорването и по двете жалби е в законния срок, съгласно чл. 38, ал. 7 ЗЗЛД; чл. 149, ал. 1 АПК. При разглеждане на двете жалби по същество, съдът съобрази следното: Съгласно чл. 6, ал. 1 от ЗЗЛД, ответният колективен административен орган- КЗЛД е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на този закон. На основание чл.9, ал.4 във връзка с ал. 3 от ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й /чл. 7, ал. 1 от ЗЗЛД - председател и 4 членове/. Същото следва да бъде подписано от всички членове, участвали в гласуването, като следва да се съобрази и специалната норма на чл.12 от Правилник за дейността на Комисията за защита на личните данни и на нейната администрация /ПДКЗЛДНА, приет на основание чл. 9, ал. 2 ЗЗЛД/, регламентираща валидността на решението, когато то може да се вземе и неприсъствено, ако председателят и всички членове на комисията са съгласни и го подпишат. Съгласно чл. 11, ал. 4 от ПДКЗЛДНА „председателят или член на комисията, който не е съгласен с решение, го подписва с особено мнение“. Спазено е изискването за кворум, доколкото в оспореното решение е посочено, че всички присъствали на заседанието / председателят и още двама от членовете на Комисията /чл.8, ал.6 от ПДКЗЛДНА/, са го подписали, а това онагледява и наличието на цитираните нормативно регламентирани предпоставки за взета валидно решение на колективния орган. Решението съдържа подписите на председателя и двамата поименно посочени членове. Следователно, постановеното решение е взето с изискуемото мнозинство от 3 гласа, доколкото в решението не се съдържа отразяване на „особено мнение“ на член от състава или председателя на КЗЛД, респективно липсват данни за наличие на член от състава /председател/ на ответния орган, който не е съгласен с постановеното решение и тези констатации обосновават извода, че е взето единодушно. Предвид горното съдът счита, че актът е постановен от компетентен орган и не е налице основанието по чл. 146, т. 1 АПК за прогласяване на нищожността му. На следващо място, поради липсата на изрична разпоредба в ЗЗЛД относно формата и съдържанието на решението, приложение следва да намери чл.59, ал.2 АПК. Спазена е писмената форма, като в решението изрично е посочено правното основание и фактическите причини обусловили неговото издаване. Ответникът, чрез своите фактически констатации обосновано е посочил действителното правно положение, не се установява непълнота на фактите, а след анализ и проверка на същите, съдът приема, че те са установени в пълнота. Волята на административния орган е ясно изразена, не съществуват пропуски или грешки, което е предпоставка за правилното упражняване на съдебния контрол за законосъобразност и осигурява възможност на оспорващия да организира адекватно защитата си във висящия съдебен процес. Не се констатираха несъответствия или противоречия между мотивите и разпоредителната му част. На трето, но не по важност място, съдът счита, че не са налице съществени нарушения на административнопроизводствените правила, предпоставка за отмяна на основание чл.168, ал.1 АПК във вр. чл.146, т.3 АПК. Производството е образувано законосъобразно в съответствие с разпоредбата на чл.38, ал.1 от ЗЗЛД, след сезиране на Комисията с жалба на А. Д. А., в която се твърди извършено нарушение на ЗЗЛД от страна на конституирания като ответник в административното производство. С решение от проведено заседание, обективирано в протокол № 30 от 20.07.2022г, е прието, че жалбата е допустима, правилно са конституирани страните в производството и е насрочено открито заседание, за което страните са уведомени и са съблюдавани процисуалните им права, с оглед ангажираните по преписката материали. След провеждане на заседанието е постановено и решението, с което е приключило разглеждането на спора по същество. На страните в производството е представена възможност да се запознаят с приложените по преписката доказателства и да изразят становище. При произнасяне по съществото на спора са обсъдени събраните писмени доказателства. Правото на защита на жалбоподателя А., нито на конституираната като ответна страна банкова институция не е ограничено, тъй като е гарантирано тяхното участие в административния процес, който се е провел в съответствие със специалните разпоредби на ЗЗЛД, чл.34 и следващите от АПК и принципите - истинност, равенство, достъпност, публичност и прозрачност /чл.7, чл.8 и чл.12 от АПК/. Предоставена е възможност за провеждане на защитата на засегнатите права и интереси в пълен обем. Фактът, че някои от исканията на жалбоподателя са оставени без уважение не води до друг извод, още повече, че както и ответният орган е изтъкнал, евентуалното наличие на вреди и тяхното обезщутяване са разглежда по съвсем различен процесуален ред, а въпросите на които жалбоподателят Д. обосновава исканията си и пред съда в голямата си част са неотносими към предмета на настоящото дело. Обстоятелствата, свързани с евентуално наличие на вреди и претендираното от жалбоподателя обезщетение в тази връзка няма отношение към законосъобразността на процесния административен акт и тези доводи не могат да се обсъждат, защото са неотносими към предмета на делото. Въпроси свързани с евентуални нарушения при обработването на лични данни от страна на БНБ също нямат отношение към предмета на делото, доколкото не тя е страната, срещу която е подадена първоначалната жалба до КЗЛД, а именно тя определя предмета на административното производство, респективно относимите към предмета и на настоящото съдебно производство въпроси. Контролът от страна на КЗЛД се осъществява досежно установяване на фактите дали правомерно или неправомерно е извършен достъп до личните данни на жалбоподателя в ЦКР, а не дали е или не е сключил договор за заем и кой го е подписал, респективно дали подписът е истински или не. Последните обстоятелства нямат отношение към настоящото административно производство, в чийто обхват не влизат установяването на обстоятелства свързани с евентуално извършени престъпления против жалбоподателя Д., с оглед заявените от него факти, че не е сключвал договор за кредит с банката или свързани с нея дружества. Тези факти нямат отношение към законосъобразността на постановеното решение и затова няма да се обсъждат. Доводите на жалбоподателя Д. всъщност изместват фокуса на обстоятелствата, които подлежат на доказване в настоящия процес. Сред тях е установяване на факта дали на посочените от него дати е извършен правомерно достъп до налични данни в ЦКР или този достъп е осъществен незаконосъобразно, а не дали той е подписал договор за кредит сключен от негово име или подписът му не е истински, за което в съответното производство което следва да установи тези факти е ангажирана и нужната графологична експертиза. На следващо място, административният акт е постановен изцяло в съответствие с нормите на материалния закон, поради което липсва отменително основание по чл.146, т.4 АПК. Издаденото решение е съобразено и с целите на закона и в този смисъл не е налице основание за отмяна на акта, съгласно чл.146, т.5 от АПК. Това е така, поради следното: Съгласно чл.5, §2 от ОРЗД обработването на личните данни се осъществява при съблюдаване принципа на отчетност, а именно „ Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност"). Съобразно чл.6, §1, б.“а“ до б.“е“ са посочени условията за допустимост на обработване на лични данни. На основание чл.58, §2, б.“и“ от ОРЗД „Всеки надзорен орган има всички от посочените по-долу корективни правомощия: …да налага административно наказание „глоба" или „имуществена санкция" съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай“. Действително, осъществяваната от УниКредит Булбанк дейност, съставлява търговска дейност като кредитна институция и съобразно разпоредбите на чл. 56, ал. 2 вр. ал. 1 от Закона за кредитните институции, чл. 4, ал. 1 от Наредба № 22 от 16 юли 2009 г. за Централния кредитен регистър, както и издадените на основание чл. 9, ал. 2 и § 6 от ПЗР на цитираната наредба указания за реда за включване, правила за работа и за изключване на институции от информационната система на Централния кредитен регистър от дата 20.03.17 г. “Уникредит Булбанк“ АД е включен към информационната система на Централния кредитен регистър и има осигурен достъп до информация, съдържаща се в системата. Централния кредитен регистър представлява база данни, в която се съхранява информация за кредитната задлъжнялост на клиентите към банките и финансовите институции, както и към платежните институции и дружествата за електронни пари, отпускащи кредити по реда на чл. 21 от Закона за платежните услуги и платежните системи (ЗПУПС), които извършват дейност на територията на Република България - чл. 2 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър. С наредбата, издадена в изпълнение на законова делегация на чл.56, ал.4 от Закона за кредитните институции (ЗКИ), се урежда функционирането, обхвата, реда и сроковете за подаване и получаване на информация от Централния кредитен регистър. Този регистър осигурява централизиране на информацията за кредитната задлъжнялост на клиентите към банките и финансовите институции, както и към платежните институции и дружествата за електронни пари, отпускащи кредити по реда на чл.21 от Закона за платежните услуги и платежните системи (ЗПУПС), ползване на информация от банките и финансовите институции, както и от платежните институции и дружествата за електронни пари, отпускащи кредити по реда на чл. 21 от Закона за платежните услуги и платежните системи (ЗПУПС) за кредитната задлъжнялост на техните клиенти, обобщаване на събраната информация и ползването й за нуждите на БНБ. Същият поддържа и информация за лицата, които са съдлъжници и поръчители на кредити. Възможността за включване на институциите към тази информационна система е описан в чл.6 от наредбата и включва подаване на заявление, към което се прилагат необходимите документи, сред които вътрешни правила, с които се определят условията и редът за подаване и получаване на информация от Централния кредитен регистър, както и правата и задълженията на оправомощените лица, които ще обработват, подават и получават тази информация, реда и условията за контрол за верността на подаваната в БНБ информация и за коригиране на неточно подадена информация, както и мерки за създаване и поддържане на специален регистър по чл. 19а, ал. 2 от наредбата. Централният кредитен регистър осигурява на институциите информация за кредитната задлъжнялост на клиентите им чрез достъп до регистъра по електронен път. Информацията за кредитната задлъжнялост за клиентите включва данни както за текущото състояние на кредитите, така и за просрочията по активни и по погасени кредити за 5-годишен исторически период. Институциите получават и ползват информация от Централния кредитен регистър при запазване на банковата, професионалната и търговската тайна. Те нямат право да разгласяват и предоставят информация от Централния кредитен регистър на трети лица, както и да я използват за търговски цели, включително и като обобщени - данни. Същите получават и ползват информация от Централния кредитен регистър само за установяване на кредитната задлъжнялост на техните клиенти - чл. 19 от наредбата. Обсъжданият регистър се създава и поддържа от Българска народна банка - Централната банка на Република България и юридическо лице, съобразно разпоредбата на чл. 56 от Закона за кредитните институции (ЗКИ). В изпълнение на чл. 56, ал. 14 от Закона за кредитните институции и чл. 19а, ал. 2 от наредбата институциите създават и поддържат специален регистър, в който регистрират данните за извършените проверки в Централния кредитен регистър, като записите в него се съхраняват 5 години от датата на направената проверка. Предвид факта, че ответната страна /търговска банка/ е включена към информационната система на Централния кредитен регистър, на дати 17.03.2021 г. и 04.12.2020 г. е направена справка в Централния кредитен регистър, съответно са достъпени данни за жалбоподателя, което е установено по категоричен начин в хода на производството. Нарушението при обработването на лични данни на посочените дати спрямо А. Д. А. е доказано по категоричен начин, поради следните съображения: Съгласно чл.4, §2 от ОРЗД, съдържащ легална дефиниция на понятието, за целите на настоящото производство „обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“. Несъмнено, действията по извличане на такива данни от информационната система на Централния кредитен регистър съставляват обработване на лични данни с автоматични средства, тъй като достъпването на тези данни - тяхното извличане от информационната система на регистъра изисква наличието на работни станции с осигурен интернет достъп, както правилно е приел и административния орган. В процесният случай целите, за които се предоставя достъп до данните в информационната системата за кредитната задлъжнялост на клиентите са посочени в чл.56, ал.12 от Закона за кредитните институции. Следва да се отбележи, че достъпът до системата на институциите по ал. 2 и органите по ал.3 се осъществява във връзка с изпълнение на служебните им задължения по повод на конкретни проверки, във вр. с чл. 3 от Наредба № 22 от 16 юли 2009г. за Централния кредитен регистър (регистъра осигурява: т.1 централизиране на информацията за кредитната задлъжнялост на клиентите към банките и финансовите институции, към платежните институции и дружествата за електронни пари, отпускащи кредити по реда начл. 21 от ЗПУПС, т. 2 ползване на информация от банките и финансовите институции, от платежните институции и дружествата за електронни пари, отпускащи кредити по реда на чл. 21 от ЗПУПС за кредитната задлъжнялост на техните клиенти, т. 3 обобщаване на събраната информация и ползването й за нуждите на БНБ. Централният кредитен регистър поддържа и информация за лицата, които са съдлъжници и поръчители по кредити, разпоредба, действаща в ред измененията и допълненията - ДВ, бр. 101 от 20.12.2022г. При необходимост, се извършва справка в Централния кредитен регистър или в друга база данни, използвана в Република България за оценка на кредитоспособността на потребителите) вр. чл. 19, ал. 5 от Наредба № 22 от 16 юли 2009 г. за Централния кредитен регистър (институциите по чл. 4, ал. 1 получават и ползват информация от Централния кредитен регистър само за установяване на кредитната задлъжнялост на техните клиенти.), § 1, т. 1 от ДР и чл. 10 на цитираната наредба (Институциите по чл. 4, ал. 1 са длъжни да събират и подават към Централния кредитен регистър информация в електронен вид за всички кредити на техните клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване). От събраните в хода на административното производство доказателства и установените въз основа на тях относими към предмета факти и обстоятелства става ясно, че конституираната като ответна страна банка е осъществила достъп до личните данни на А.А. от Централния кредитен регистър за целите на извършване на вътрешна проверка от дружеството по повод подадените от него две жалби, с които А. Д. А. оспорва качеството си на клиент на “Уникредит Кънсюмър Файненсинг“ ЕАД, т.е. данните не са достъпени за целите, посочени в закона и за които е предоставен достъп, а за други и различни цели - извършване на вътрешна проверка по повод постъпили жалби от А. А., с които оспорва качеството си на кредитополучател по договор, сключен с “Уникредит Кънсюмър Файненсинг“ АД. Не може да се отрече, че банката има отношение към обработката на данните, която е предмет на подадените от А. А. жалби, тъй като става въпрос за потребителски кредит, който е отпуснат от “Уникредит Кънсюмър Файненсинг“ ЕАД, чрез “Уникредит Булбанк“ АД и по - конкретно въпросният договор за потребителски кредит е сключен от “Уникредит Кънсюмър Файненсиг“ ЕАД, чрез “Уникредит Булбанк“ АД в качеството на последното дружество на кредитен посредник по смисъла на § 1, т. 9 от Закона за потребителския кредит. В оспореното решение на КЗЛД се сочи, че тази информация е служебно известна на Комисията за защита на личните данни във връзка с образувано друго производство по жалба на А. А., като е цитиран и неговия рег. индекс - ППН-01-866(2020)#4 от 05.05.2021 г. Въпреки гореизложеното, обективен и законосъобразен е извода на ответния административен орган, че в това си качество (на кредитен посредник) обаче банката няма признато от закона право на достъп до информационната система за кредитната задлъжнялост на клиентите към банките и финансовите институции, към платежните институции и дружествата за електронни пари, отпускащи кредити по реда на чл. 21 от Закона за платежните услуги и платежните системи (ЗПУПС), които извършват дейност на територията на Република България. В случаят, правото на достъп до тези данни на банката е признато от закона и цитираните по-горе разпоредби на нормативната уредба, но само като кредитна институция. В процесният казус, качеството, по силата на което е осъществила този достъп нарушава законовите изисквания, защото банката е имала роля на кредитен посредник, а не на кредитна институция и именно в това се изразява извършването на нарушението. Такова право е имало само дружеството “Уникредит Кънсюмър Файненсиг“ЕАД. Няма пречка, при извършването на осъществената вътрешна проверка банката да изиска подобна информация, чрез активно легитимирания за това субект, което обаче не е сторено и с осъществения достъп директно от кредитния посредник действително е допуснато нарушение на закона, за което се носи и съответната отговорност. Обработване на данните се явява според законодателя допустимо, но само при условие, че същото е свързано с първоначалната цел. В случаят, не е налице съвместимост между целите, за които е предоставен достъп до данните от Централния кредитен регистър и целите, за които дружеството е достъпило данните, тъй като се касае за обработка (достъп/извличане) на личните данни в два различни контекста: 1/ достъпът на дружеството е предоставен в качеството му на кредитна институция и за целите на извършване на служебни проверки, вкл. кредитната задлъжнялост на негови клиенти и 2/ осъществен достъп до данни в Централния кредитен регистър от дружеството в качеството му на кредитен посредник на “Уникредит Кънсюмър Файненсинг“ ЕАД по повод отпуснат потребителски кредит от последното дружество. “Уникредит Булбанк“ АД има осигурено право на достъп до информация в Централния кредитен регистър, но в качеството си на КРЕДИТНАТА ИНСТИТУЦИЯ по повод проверки, касаещи кредитната задлъжнялост на клиенти на това дружество. В разглежданият случай обаче ответната страна не действа в качеството си на кредитната институция, а като кредитен посредник, поради което и извършвайки достъп до данните на жалбоподателя в Централния кредитен регистър на процесиите дати същата действително е осъществила „излизане“, т.е. извън обхвата на първоначалната цел на обработването, респективно целта на осигурения достъп. Изложени са изрични мотиви за индивидуализацията на имуществената санкция, а доводите на жалбоподателя А. в обратната насока са неоснователни. Неоснователни са и доводите на другия жалбоподател относно прекомерност на наложената имуществена санкция. Мярката е съразмерна, в съответствие с принципа на чл.6 от АПК, за което е показателно дори съпоставянето на наложената по размер санкция от 5 000 лева, с възможният максимален размер на такава санкция- до 20 000 000 евро или 4% от оборота на дружеството през предходната година. Същевременно, искането на жалбоподателя А. за налагане на по-тежка санкция е неоснователно. Неговата позиция се основава на факта, че с личните му данни е злоупотребено, за което и страните не спорят по делото, във връзка с отпускане на кредит на негово име, за което със съответна експертиза в друго производство е установено дали т.нар. кредитополучател е подписал договора или не. Тези въпроси нямат връзка с предмета на настоящото дело и няма да се обсъждат. В случаят, относимо към произнасянето на съда е само установения достъп до лични данни от страна на търговската банка, която ги е достъпила в ЦКР. Другите описани факти, относно евентуално осъществено престъпление нито са от компетентността на административния съд, нито са в обхвата на административното производство, защото не е подадена жалба относно цитирания кредит, а относно достъпени лични данни в ЦКР. В тази връзка всички други съображения на жалбоподателя А. няма да се обсъждат, защото е безпредметно техният анализ в настоящия съдебен акт. Единствено, относими към законосъобразността на акта са доводите на жалбоподателя относно твърдяната от него нищожност на санкцията, в смисъл, че е наложена съвсем незначителна санкция за тази търговска банка. Вярно е, че цитираната норма на регламента въвежда като критерий и оборота на търговското дружество при определяне размера на санкцията. Обаче, не този факт е от първостепенно значение за определяне на нейния размер. С други думи, определянето на санкцията в един или друг размер не трябва да изхожда от факта колко голям оборот е реализирало дружеството и каква е неговата печалба и след като нарушител се явява търговска банка тя непременно трябва да бъде санкционирана с 4% от оборота или много по-висок размер на санкцията, след като според жалбоподателя така определената санкция се явява нищожна. Напротив, независимо от мащабите на извършваната от съответното дружество дейност, конкретната санкция на първо място се основава на естеството и тежестта на извършеното нарушение. Както вече бе изтъкнато неколкократно по-горе в изложението, банката, има регламентиран от закона достъп до съдържащите се в ЦКР лични данни. В случаят, нарушението се изразява само досежно качеството, което в конкретния случай е на кредитен посредник, а не на кредитна институция. В този смисъл, не би могло да се приеме обективно, че извършеното конкретно нарушение е от такава тежест, че да обуслови многократно по-тежка санкция на търговската банка. Съществен момент е и обстоятелството, че достъпът до личните данни на жалбоподателя А. е осъществен именно по повод негови жалби до банковата институция, по повод на които е извършена вътрешна проверка. Следователно, не би могло да се приеме и другата теза на този жалбоподател, че достъпването е с цел да му се причинят вреди, изхождайки от данните установени от графологичната експертиза. Няма как да се обоснове подобен извод, при положение, че датите на които е осъществен достъпа хронологично са свързани с датите, на които същият е подавал жалби до банката по повод проблемния кредит. При така установените обстоятелства не са установени факти, въз основа на които да се направи извод, че наложеното наказание „нищожно“, т.е. прекалено занижено, според позицията на жалбоподателя А.. При упражняване на оперативната си самостоятелност, административният орган е приложил правилно закона, а доводите и на двамата жалбоподатели /А. А. и УниКредит Булбанк/ в противоположната насока са неоснователни. Колкото до обсъждането формата на вина, действително, налагането на имуществена санкция на юридическо лице, какъвто е случаят се основава на т.нар. безвиновна отговорност. Обсъждането дали е налице умисъл или небрежност означава да се анализира вината, респективно нейните възможни форми. Вината е субективното психично отношение на дееца към общественоопасното деяние и неговите общественоопасни последици, съгласно дефиницията на това понятие. Следователно, само физическите лица могат да извършат виновно нарушение според дефиницията за вина. Съгласно нормите на регламента, следва да се съобразят обстоятелствата, с оглед тежестта на нарушението. В случаят, търговското дружество несъмнено и безспорно е администратор на лични данни и носи отговорност за действията на свои служители, които при изпълнение на своите функции от името и за сметка на дружеството са обработвали неправомерно личните данни на жалбоподателя А., посредством осъществените достъпи до данни в ЦКР, поради което всички релевантни към тази отговорност факти са били обсъдени и взети предвид от ответния административен орган. Изцяло в преценката на административния орган е издаването на конкретни разпореждания относно заличаване/изтриване на лични данни на конкретен правен субект, но в случаят банката само е осъществила достъпване на данните, поради което обективно не може да се дава подобно разпореждане, след като тези данни са налични именно в ЦКР, а ако отново се осъществи достъп в нарушение на закона това ще е основание за налагане на нова санкция по съответния ред. Колкото до доводите на жалбоподателя относно комуникацията му със служител на КЗЛД по повод отразяване на случая в национална медия, както и другите му разговори по повод принципната дейност на Комисията и взаимоотношенията й с други субекти, физически и юридически лица, тези въпроси нямат никаква връзка с предмета на делото, а именно проверка законосъобразността на решението на КЗЛД, и в този смисъл няма причина тези доводи и заявени факти да се обсъждат. Обобщено, и двете жалби срещу Решение № ППН-01-220/2022г. от 07.12.2023г. на Комисията за защита на личните данни са НЕОСНОВАТЕЛНИ и следва да бъдат отхвърлени. При този изход на спора, на основание чл.143, ал.3 от АПК във връзка с чл. 37 ЗПП и чл. 24 от Наредбата за заплащане на правната помощ в полза на ответната страна следва да бъде присъдено юрисконсултско възнаграждение, което съдът определя в минималния размер от 100 /сто/ лева, а същото следва да бъде заплатено от двамата жалбоподатели поравно, т.е. всеки от тях да заплати сумата от 50 лева в полза на КЗЛД. В полза на БНБ, в качеството на заинтересована страна по делото разноски не се дължат, доколкото въпреки отхвърляне на оспорването и по двете жалби, не може да се сподели виждането, че е налице такова основание за тази страна. Съгласно чл.143, ал.4 от АПК това право по отношение на заинтересованите страни е обусловено от факта дали постановеният административен акт е благоприятен за тези страни. В случаят, постановеният и оспорен от двата си адресата акт не засяга правната сфера на БНБ и не може да се обоснове извод, че този акт е благоприятен за заинтересованата страна БНБ. Ето защо, искането за присъждане на юрк. възнаграждение е неоснователно и се отхвърля. Мотивиран от изложеното, на основание чл.172, ал.2 от АПК, Административен съд София-град, Второ отделение, 53-ти състав, Р Е Ш И: ОТХВЪРЛЯ жалбата на А. Д. А., срещу Решение № ППН-01-220/2022г. от 07.12.2023г. на Комисията за защита на личните данни /КЗЛД/, като НЕОСНОВАТЕЛНА. ОТХВЪРЛЯ жалбата на „УниКредит Булбанк“ АД, срещу Решение № ППН-01-220/2022г. от 07.12.2023г. на Комисията за защита на личните данни /КЗЛД/, като НЕОСНОВАТЕЛНА. ОСЪЖДА „УниКредит Булбанк“ АД, ЕИК[ЕИК], да заплати на Комисията за защита на личните данни /КЗЛД/, с адрес: [населено място], [улица], сумата от 50 /петдесет/ лева, разноски по делото- юрисконсултско възнаграждение за настоящата инстанция- АССГ. ОСЪЖДА А. Д. А., ЕГН [ЕГН], да заплати на Комисията за защита на личните данни /КЗЛД/, с адрес: [населено място], [улица], сумата от 50 /петдесет/ лева, разноски по делото- юрисконсултско възнаграждение за настоящата инстанция- АССГ. ОТХВЪРЛЯ искането на заинтересованата страна БНБ за присъждане на юрисконсултско възнаграждение, като НЕОСНОВАТЕЛНО. РЕШЕНИЕТО може да бъде обжалвано с касационна жалба в 14 – дневен срок от съобщаването му на страните чрез Административен съд София – град пред Върховния административен съд на Република България. ПРЕПИС от решението да се изпрати на страните по реда на чл. 138, ал. 3 във връзка с чл. 137 от АПК. СЪДИЯ: Р Е Ш И: