Решение № 23453 от 8.7.2025 г. на Административен съд - София-град по дело № 4359/2025 г.

Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс (АПК) във вр. с чл. 38, ал. 8 от Закона за защита на личните данни (ЗЗЛД). Образувано е по две жалби: От „Смарти консулт“ ООД чрез представляващия З. И. и от „Изипей“ АД чрез адв. М. И. срещу Решение № ППН-1-80/2023 г., постановено на 26.03.2025 г. от Комисия за защита на личните данни (КЗЛД). С Решението е приета за основателна жалбата на А. А. С.-Ш. и срещу двете дружества. Дадени са предписания на „Изипей“ АД да въведе подходящи технически и организационни мерки за защита на личните данни при идентифициране на клиенти – физически лица в контекста на сключване на договори за предплатени карти и да ограничи обработката на личните данни на жалбоподателката само за целите на спазване на задълженията, които изискват обработване. На дружеството е наложена имуществена санкция от 20 000 лв. Дадени са предписания на „Смарти консулт“ ООД за провеждане на обучение на служителите по идентификация на физическите лица- клиенти. На дружеството е наложена имуществена санкция от 10 000 лв. Желбоподателят „Изипей“ АД твърди, че обжалваното решение противоречи на материалноправните норми и целта на закона. Счита, че „Изипей“ АД и операторът не са обработили личните данни на А. А. С.-Ш., а на неизвестно лице. Сочи, че съобразно направената в системата на МВР чрез RegiX справка представеният документ за самоличност е валиден, поради което администраторът на лични данни не е длъжен да извърши допълнителни специални проверки за идентификация. Излага доводи, че в случая няма неправилно обработване на лични данни, поради което не е осъществен съставът на вмененото му нарушение. В жалбата „Смарти консулт“ ООД навежда аргументи за незаконосъобразност на оспореното решение като постановено в противоречие с материалния закон. Твърди, че в качеството си на обработващ лични данни следва стриктно установените от „Изипей“ АД процедури и инструкции по обработка на лични данни. Излага доводи, че подробно изследване на всички реквизити на документите за самоличност не е част от задълженията на служителите. Сочи, че не разполага с техническа възможност да установи дали даден документ е фалшифициран. Счита, че наложената санкция е явно несъразмерна на твърдяното нарушение. Претендира разноски по делото. В съдебно заседание, жалбоподателите, редовно призовани, чрез процесуалните си представители поддържат изложеното в жалбите. Ответникът- Комисия за защита на личните данни- в съдебно заседание, редовно призован, не се явява и не се представлява. В писмени бележки до съда развива подробни съображения за неоснователност на жалбите. Претендира юрисконсултско възнаграждение. Съдът, като се запозна с изложеното в жалбите и приложените по делото доказателства, намира за установено от фактическа страна следното: Производството пред КЗЛД е образувано по жалба с peг. № ППН-01-80 от 31.01.2023 г., подадена от А. А. С. - Шутилова, съдържаща твърдения за неправомерна обработка на нейни лични данни в контекста на издадена предплатена карта на дата 16.09.2022 г. с наличие на платежна сметка, идентифицирана с уникален идентификатор IBAN № BG28ESPY40040019005141 от “Изипей“ АД. Изразено е становище по жалбата от „Изипей“ АД, в което е посочено, че при извършена проверка е установено, че на 16.09.2022 г. е издадена предплатена Изипей карта № 220542•••7482, свързана с [IBAN], съгласно сключен договор № 2600016654035274 на името на А. А. С. - Шулилова с [ЕГН]; на 19.09.2022 г. е изплатен паричен превод в брой на лице А. А. С. - Шулилова с [ЕГН], нареден от търговец “ЮтеКредит България” ЕООД в размер на 1500 лв., удостоверено с разписка № 0700016671734076; на 20.09.2022 г. е изплатен паричен превод в брой на лице А. А. С. - Шулилова с [ЕГН], нареден от търговец “Кредито” ООД в размер на 800 лв., удостоверено с разписка № 0700016677800160; на 20.09.2022 г. по предплатена Изипей карта, свързана с посочената по- горе сметка, е получен паричен превод в размер на 750 лв., нареден от търговец “Микро кредит“ АД, който е усвоен с няколко трансакции чрез ATM устройство (банкомат); на 23.09.2022 г. по предплатена Изипей карта, свързана с посочената по- горе сметка, е получен паричен превод в размер на 1500 лв., нареден от търговец “Мъни Плюс Мениджмънт” АД, който е усвоен с няколко трансакции чрез АТМ устройство (банкомат). Горепосочените услуги по изплащане на паричен превод в брой и издаване на предплатена Изипей карта са извършени в офис на представител на “Изипей” АД - “Смарти Консулт” ООД, ЕИК 205651547, с адрес: [населено място]. [улица], магазин “Т- Маркет”- Банишора. Посочва, че правилата, които се прилагат от “Изипей” АД при издаване на предплатена Изипей карта, са следите: лицето, което заявява услугата, се легитимира пред служител на каса с официален документ за самоличност. Служителят сверява лицето от снимката в документа за самоличност с лицето, желаещо издаване на карта, и снема копие от предоставения документ за самоличност на клиента. Заснемането на документа за самоличност се извършва с техническо устройство, като копието на документа се съхранява като прикачен файл в системата, заедно с всички данни за извършената операция. Служителят въвежда данните от документа за самоличност в системата на “Изипей” АД и прави копие на същия, в съответствие с изискванията на Закона за мерките срещу изпирането на пари съобразно разпоредбата на чл. 53 във вр. с чл. 11, ал. 1, т. 1 от Закона за мерките срещу изпирането на пари, тъй като при издаване на предплатена карта на Изипей, клиентът - картодържател вече встъпва в делово отношение с “Изипей“ АД, като му се открива и платежна сметка, идентифицирана с IBAN към издадената карта. В тази връзка при издаване на предплатена карта „Изипей“ АД прилага всички относими спрямо конкретния клиент мерки за комплексна проверка по чл. 10 от Закона за мерките срещу изпирането на пари, включително и проверка на идентификацията на клиента при прилагане на способите по чл. 55 от Закона за мерките срещу изпирането на пари. На базата на изградена техническа връзка системата Изипей чрез средата за междурегистров обмен RegiX в реално време извършва автоматична проверка на предоставения документ за самоличност в Регистър “Български документи за самоличност на МВР. Когато през RegiX се върнат данни към системата на Изипей за потвърждение валидността на предоставения документ за самоличност процедурата по издаване на карта продължава. Системата генерира документ - договор за издаване на предплатена карта с уникален номер в два екземпляра, върху които клиента собственоръчно вписва имената си и полага подпис, като съответния служител също полага подпис и печат на “Изипей” АД. Един от екземплярите на договора се предоставя на получателя, а другият остава за съхранение в “Изипей” АД. Клиентът получава карта с ПИН код в запечатан плик и копие от общите условия за услугата. Информира, че на основание постъпили сигнали от А. А. С. - Шутилова е извършена повторна проверка на предоставения документ за самоличност, като към датата на проверката регистър “Български документи за самоличност” е върнал информация по посочен номер на документ за самоличност и ЕГН, както следва: Статус: Унищожен/ 23.09.2022 г - ВЪРНАТ ОТ ЛИЦЕТО”, поради което издадената Изипей карта незабавно е блокирана за ползване, а А. А. С. - Шутилова е насочена да потърси съдействие от компетентните разследващи органи. Приложени са писмени доказателства: разписки - 2 бр., договор за издаване на предплатена карта, копие на документ за самоличност, допълнително споразумение от 03.06.2022 г. към договор № 2317 от 27.07.2021 г., журнал от 16.09.2022 г., разпечатка от информационната система на “Изипей“ АД, общи условия за издаване и използване на електронни пари чрез предплатена карта на “Изипей“ АД, процедура за издаване на предплатени карти от 17.02.2020 г., справка, приложение № 5 от дата 27.07.2021 г. към договор за представителство от дата 27.07.2021 г. - споразумение за обработване и защита на личните данни между администратор и обработваш, заповед № ДАЕУ-1180 от 24.01.2019 г., договор за представителство от дата 27.07.2021 г. Изразено е становище по жалбата от “Смарти Консулт“ ООД, в което се посочва, че на дата 16.09.2022 г на база договор № 2317 от 27.07.2021 г., сключен между дружеството и “Изипей“ АД, в каса на “Смарти Консулт“ ООД, намираща се на адрес [населено място], [улица]: Т- Маркет - Банишора е издадена предплатена Изипей карта съгласно договор № 2600016654035274 на А. А. С. - Шутилова като посочва, че данните от представения документ не отговарят на имената на жалбоподателката. Сочи, че към момента на издаване на предплатената карта, лицето от снимката на личната карта съвпада с лицето, явило се на касата на дружеството. Информира, че тази карта е издадена от С. Н., който е съдружник в дружеството. Уточнява, че всяка една процедура, свързана с обработката на данните и идентификацията на клиентите се извършва според високите стандарти на “Изипей“ АД. Сочи, че документите за самоличност се качват на скенер, който е свързан с регистри/справки на МВР. Прилага първа страница на приложение № 5 и допълнително споразумение от дата 03.06.2022 г. - извлечение. Жалбата, ведно с материалите към нея, е докладвана на заседание на КЗЛД за вземане на решение по същата, съобразно разпоредбата на чл. 38, ал. 1 от Правилника за дейността на КЗЛД и на нейната администрация. С решение, от проведено на 22.05.2024 г. заседание, обективирано в Протокол № 21/2024 г., жалбата е обявена за редовна и процесуално допустима за разглеждане. Като страни в производството по жалбата са конституирани жалбоподател А. А. С. - Шутилова и ответни страни “Изипей“ АД и “Смарти Консулт“ ООД. Предприети са действия по разследване предмета на жалбата, вкл. е възложено изготвянето на графическа експертиза. В отговор на искане “Йеттел България“ ЕАД уведомя КЗЛД, че мобилен [тел. номер] не е бил регистриран в мрежата на дружеството. В отговор на искане “А1 България“ ЕАД уведомява КЗЛД, че мобилен [тел. номер] е бил предплатена карта на Т. И. И. от месец ноември 2021 г. до месец май 2022 г. На 13.05.2022 г. въз основа на заявление този номер е пренесен в мрежата „Виваком България“ ЕАД. В отговор на искане “Виваком България“ ЕАД уведомява КЗЛД, че мобилен [тел. номер] е активиран в мрежата на дружеството след процедура по преносимост на дата 17.05.2022 г. и че този номер е с ползвател Т. И.. Мобилен [тел. номер] е закрит в системите на дружеството на дата 08.10.2022 г. и след това не е бил част от мрежата на дружеството. В отговор на искане Дирекция “Български документи за самоличност“ при МВР информира КЗЛД, че на А. А. Ш. - Сачкова с [ЕГН] е издадена лична карта № 644900992 на дата 22.10.2013 г., валидна до 22.10.2023 г. от СДВР. Личната карта е със статус “унищожен“, с причина “върнат от лицето“, променен на дата 23.09.2022 г. от 04 - то РУ при СДВР. При направено сравнение между данните, които се съдържат в издадената лична карта и тези, които се съдържат в представеното от КЗЛД копие на лична карта е установено, че снимката и данните, с които е издадена личната карта не съответстват на снимката и част от данните от копието на документа, който е предоставен от КЗЛД - различна снимка, подпис, наименование на улица, ръст на лицето и цвят на очите. Въз основа на горното се изказва предположение, че се касае за лична карта (предоставена от КЗЛД), която е неистинска или подправена. В отговор на искане Министерство на електронното управление информира КЗЛД, че към дата 16.09.2022 г. “Изипей“ АД има осигурен достъп до “Регистър български документи за самоличност“ за следните справки: за документ за самоличност на български граждани по номер на документи и за лице по документ самоличност съобразно Заповед № ДАЕУ-16722 от 01.09.2020 г. Уточнява, че в “Регистър български документи за самоличност“ има три вида справки: 1/ справка за български лични документи на български граждани; 2/ разширена справка за български лични документи на български граждани и чужденци и 3/ справка за документ за самоличност на български гражданин по номер на документ. Дирекция “Български документи за самоличност“ при МВР информира, че на дата 16.09.2022 г. е осъществен достъп до “Регистър български документи за самоличност“ от “Изипей“ АД с четири справки: 1/ в 17: 09: 35 часа - справка за български лични документи на български граждани, 2/ в 17: 09: 35 часа - справка за документ за самоличност на български гражданин по номер на документ, 3/17: 09: 48 часа - справка за български лични документи на български граждани и 4/ 17: 09: 48 часа - справка за документ за самоличност на български гражданин по номер на документ. Изготвена е графическа експертиза като според заключението на вещото лице: 1/ ръкописният текст в графа “Оправомощен ползвател“ в Договор за издаване на предплатена карта № 2600016654035274 от 16.09.2022 г. представлява изображение на ръкописен текст, който вероятно не е изписан от А. А. С. - Шутилова, 2/ подписът в графа “Подпис“ в Договор за издаване на предплатена карта № 2600016654035274 от 16.09.2022 г. представлява изображение на подпис, който вероятно не е положен от А. А. С. - Шутилова. Заключението е кредитирано изцяло като компетентно и обективно изготвено като същото не е оспорено от страните. Жалбата е разгледана в открито заседание на КЗЛД, проведено на 22.01.2025 г., на което А. А. С. - Шутилова редовно уведомена, се явява лично, а ответните страни - редовно уведомени, не изпращат представител. Във връзка с проведеното заседание е постановено оспореното Решение № ППН-1-80/2023 г., от 26.03.2025 г., с което КЗЛД е приела жалбата за основателна по отношение на двете дружества. На база установеното в хода на административното производство е счела, че прилаганите от “Изипей” АД мерки в насока идентификация и верификация на личните данни на клиенти- физически лица са ненадлежни, неефективни и неадекватни, поради което мерките не са „подходящи“ по смисъла на Регламента. КЗЛД е приела, че в хода на производството дружеството не е представило доказателства, че обработва личните данни на жалбоподателката съобразно принципите за цялост и поверителност, от което следва извод за нарушение и на чл. 5, § 2 от Регламента- принципа на отчетността. За установеното нарушение на “Изипей” АД са дадени предписания да въведе подходящи технически и организационни мерки за защита на личните данни при идентифициране на клиенти – физически лица в контекста на сключване на договори за предплатени карти и да ограничи обработката на личните данни на жалбоподателката само за целите на спазване на задълженията, които изискват обработване. На дружеството е наложена и имуществена санкция в размер на 20 000 лв. По отношение на „Смарти консулт“ ООД КЗЛД е приела, че дружеството не представя доказателства да е предприела действия по проверка/контрол на необходимото ниво на експертните познания на физическите лица, обработващи лични данни, както и доколко се спазват въведените от администратора мерки за защита. Сочи, че в разрез с указанията на “Изипей” АД служителят С. Н. не е извършил надлежна проверка на представения му документ за самоличност, въвел е данните от последния в системата на “Изипей“ АД, потвърдил същите, и е сключил договор за предплатена карта от името на “Изипей“ АД, по силата на който такава карта е издадена на името на А. А. С. – Шутилова. За установеното нарушение на „Смарти консулт“ ООД са дадени предписания за провеждане на обучение на служителите по идентификация на физическите лица- клиенти. На дружеството е наложена имуществена санкция от 10 000 лв. При така установените факти и след като извърши дължимата на основание чл.168, ал.1 от АПК проверка за законосъобразност на оспорения акт на всички основания по чл.146 от АПК, съдът приема от правна страна следното: Жалбата е процесуално допустима, като подадена от надлежна страна, при наличие на правен интерес, срещу подлежащ на оспорване административен акт и в преклузивния срок по чл. 38, ал. 8 от ЗЗЛД. Разгледана по същество е частично основателна. Съгласно чл. 6, ал. 1 от ЗЗЛД, КЗЛД е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон. Тази своя функция комисията осъществява упражнявайки предоставени от закона правомощия, посочени в чл. 10, ал. 1 от ЗЗЛД. Административният орган е оправомощен да разглежда жалби срещу актове и действия на администраторите, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон - чл. 10, ал. 1 във вр. с чл. 57 от Регламент (ЕС) 2016/679. За реализирането на тези правомощия законодателят е предвидил правомощия на комисията като колективен орган (чл. 38 от ЗЗЛД). Съобразно чл. 7, ал. 1 от ЗЗЛД комисията е колегиален орган и се състои от председател и 4- ма членове, като според чл. 9, ал. 3 от ЗЗЛД решенията на комисията се вземат с мнозинство от общия брой на членовете й. В конкретния случай оспореното решение е прието на заседание на комисията, проведено на 22.01.2025 г., на което са присъствали четирима членове, с единодушие, като същите са подписали оспорения акт (чл. 7, ал. 1от ЗЗЛД във връзка с чл. 4, ал. 1 от Правилника за дейността на КЗЛД и нейната администрация). По изложените съображения, оспореното решение е издадено от компетентен орган, в кръга на правомощията му. Доколкото в приложимия специален закон липсват конкретни изисквания за формата и съдържанието на акта, спазени са предвидените в чл. 59 от АПК общи изисквания за форма и съдържание на административния акт. Същият е издаден в изискуемата писмена форма и съдържа задължителните реквизити, регламентирани в ал. 2 на чл. 59 от АПК, в т.ч. фактическите и правните основания за издаването му, даващи възможност за упражняване на контрол за законосъобразност от съда и гарантиращи правото на защита на жалбоподателя. При постановяване на оспорения акт не са допуснати нарушения на административно производствените правила, които да съставляват самостоятелно основание за отмяната му. Жалбата, въз основа на която е образувано производството, е подадена в предвидения в чл. 38, ал. 1 от ЗЗЛД срок. Производството е инициирано от А. А. С. - Шутилова, която е изложила съображения за допуснати от страна на „Смарти консулт“ ООД и “Изипей” АД нарушения на ЗЗЛД, изразяващи се в неправомерна обработка на нейни лични данни. По жалбата е образувана преписка, събрани са писмени и гласни доказателства, проведени са открити заседания, за които страните са били редовно уведомени, като след изясняване на жалбата от фактическа страна, комисията е издала и изричен писмен акт – решение, в което е изложила съображенията си за крайното си решение. При произнасяне по съществото на спора са обсъдени представените по преписката писмени доказателства, както и изразените становища по отправените в жалбата твърдения. Правото на защита на участниците в производството не е ограничено, тъй като е гарантирано тяхното участие в административното производство. Предвид изложеното съдът намира, че липсват предпоставки за отмяна на атакувания ИАА по смисъла на чл. 168, ал. 1 във връзка с чл. 146, т. 3 от АПК. По отношение съответствието на оспореното решение с материалния закон, съдът взе предвид следното: С приемането на Регламент /ЕС/ 2016/679 на Европейския парламент и на съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД), разпоредбите му се прилагат от 25.05.2018 г. Той е приет като „общ“ в смисъл на „генерален“ Регламент и включва разпоредби с общ характер в сферата на защитата на личните данни, а на държавите членки е предоставена свобода на преценка да приемат изключения и дерогации при посочените изисквания. Целта на Регламента е да осигури ефективна и пълна защита на основните права и свободи на физическите лица, по - специално на основното право на защита на личните данни. Съгласно чл. 4, § 2 от Регламент 2016/679 „обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В разпоредбата на чл. 4, т. 7 от Регламент 2016/679 се определя, че администратор на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с друг определя целите и средствата за обработване на лични данни, когато целите и средствата за това обработване се определя от правото на съюза или правото на държавата членка. В т. 8 от Регламента е записана и дефиницията на „обработващ лични данни“, а именно: „физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора“. В този смисъл, за да носи отговорност едно лице за обработване на личните данни на друго лице в нарушение на ЗЗЛД и Регламент 2016/679, то лицето използващо неправомерно данните следва да има качеството „администратор“ или „обработващ лични данни“. Не се спори, че „Изипей“ АД е администратир на лични данни, а „Смарти консулт“ ООД- обработващ лични данни. За да бъде обработването на лични данни законосъобразно, първо, администраторът или третото лице, на което се разкриват данните, следва да преследват законни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните законни интереси и трето, основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество върху преследваните законни интереси (решение от 4 май 2017 г., Rоgas satiksme, C-13/16, EU: C: 2017: 336, т. 28). В чл. 5, § 1 на Регламент 2016/679 са посочени принципите, свързани с обработването на личните данни, като съгласно § 2 на текста администраторът носи отговорност и е длъжен да докаже спазването на тези принципи. В чл. 5, § 1, б. „а“, т.е. на първо място е посочено изискването личните данни да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност"). Настоящият съдебен състав приема, че в случая тези основни принципи са нарушени от администратора на лични данни. Това е така, тъй като данните на Сачкова - Шутилова са обработени без нейно знание и съгласие, против волята й. Видно от приложената административна преписка, отговорността на „Изипей“ АД е ангажирана в качеството му на администратор на лични данни за това, че не са налице данни за прилагани подходящи технически и организационни мерки за защита на личните данни по повод идентификацията на клиенти - физически лица в контекста на процедура по сключване на договори за предплатени карти и в частност, такива които са насочени към установяване на самоличността на клиента - физическо лице и проверката на представените от него данни. Издаването на предплатена карта е факт, по който не се спори. След като е безспорно, че от страна на третото лице няма съгласие, съдействие или искане до администратора, следва единствения извод, че обработването на личните му данни без правно основание е незаконосъобразно. Правно ирелевантно дали в случая става въпрос за извършване на престъпление – използване на „фалшив“ документ – лична карта. При разглеждане на жалба за нарушение при обработване на лични данни, какъвто е процесният случай, от КЗЛД не се преценява има ли извършено престъпление и кой е неговият извършител, а дали е налице неправомерно обработване на лични данни - допуснато ли е нарушение от страна на администратора на лични данни при обработване на личните данни и във връзка с това, взети ли са достатъчно мерки, за да се гарантира правомерното обработване на лични данни. Наличието или липсата на данни за извършено престъпление по НК, няма отношение към административноправния спор, защото в двете производства се преценяват различни обстоятелства. В производството пред КЗЛД предмет на обсъждане е дали администраторът на лични данни е изпълнил задълженията си по ОРЗД за защита на данните, които обработва. В случая правилно Комисията е установила нарушение на задължението на „Изипей“ АД като администратор на лични данни. Безспорно дружеството прилага мерки в насока идентификация на клиентите - физически лица в контекста на сключване на договори за предплатени карти като за тези цели е въведена функционалност на системата на „Изипей“ АД- изпращане на автоматично запитване/заявка през системата за обмен на справочна и удостоверителна информация (RegiX) до регистър „Български документи за самоличност“: справка за български лични документи на български граждани и справка за документ за самоличност на български гражданин по номер на документ, на въведените от съответен служител данни за клиент - физическо лице в системата на “Изипей“ АД. Безспорно е, че посочените справки са извършени, т.е. изпратени са автоматични заявки към регистъра на МВР, като при съвпадение на номера на въведения документ за самоличност и ЕГН с тези от регистъра, системата връща към служителите (независимо дали става дума за служители на дружеството или на негов подизпълнител) резултат, според който проверявания документ за самоличност е валиден, което е предпоставка за предприемане на последващи действия — сключване на договор от служител със съответен клиент - физическо лице. Същевременно обаче, при генериране на резултат от системата относно статус на проверявания документ, служителите (независимо дали става дума за служители на дружеството или на негов подизпълнител), които са ангажирани в процесите по идентификация и верификация на личните данни на клиенти - физически лица получават ограничена информация за резултатите от справките - актуален статус на документа, дата на издаване, орган - издател на документа за самоличност, номер на документа за самоличност, вид на документа за самоличност, дата на валидност, т.е. те не получават в цялост информацията, която се генерира като резултат от справките, съответно не извършат проверка за съответствие на данните, които се съдържат представения документ за самоличност с данните, които се съдържат за него в Регистър “Български документи за самоличност“. Именно в резултат на така прилаганите мерки „Изипей“ АД припознава А. А. С. - Шутилова като негов клиент, т.е. обработва нейни лични данни по договор, но който същата не е страна. Безусловно личните данни трябва да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните, а в случая този субект не е предоставял своите данни (имена, адрес и ЕГН, които са лични данни по смисъла на чл. 4, § 1 от Регламента) и не е давал съгласието си те да бъдат обработвани от администратор по смисъла на § 2 на чл. 5 от Регламента. В случая се констатира липсата на доказателства за надлежно, ефективно извършени действия по идентификация на лицето, за липса на последващ контрол върху такива действия, все задължения на администратора на лични данни. Неизпълнението на задължението за идентификация на лицето, чиито данни се обработват крие редица рискове, както е посочено и в съображенията към Регламента като загуба на контрол над данните, кражба на идентичност, настъпване на имуществени и неимуществени вреди и др. Тези негативни последици биха били избегнати, ако администраторът на лични данни беше изпълнил задълженията си, когато е целесъобразно, да извършва редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационните мерки, за да се гарантира сигурността на обработването, като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Администраторът и обработващият лични данни следва да прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност. Извършването на такава оценка на риска има за цел да гарантира сигурността и да се предотврати обработване, което е в нарушение на Регламент (ЕС) 2016/679. Няма данни такива регулярни оценки на риска да са извършвани от „Изипей“ АД. Както се посочва в съображение 83 от регламента, при оценката на риска за сигурността на данните следва да се разгледат рисковете, произтичащи от обработването на лични данни, като случайно или неправомерно унищожаване, загуба, промяна, неправомерно разкриване, или достъп до предадени, съхранявани или обработвани по друг начин лични данни, което може по- конкретно да доведе до физически, материални или нематериални вреди. Предвид дейността на дружеството налице е висок риск за сигурността, доколкото биха могли да настъпят непосредствени имуществени и неимуществени вреди за лицата, чиито лични данни се обработват. Потвърждение за това е и процесният случай, а именно личните данни на А. А. С. - Шутилова са използвани без нейно съгласие за отпускане на кредит. Ако тя не бе сезирала компетентните държавни органи, биха настъпили и имуществени вреди. От страна на „Изипей“ АД не е извършвано и редовно изпитване, преценяване и оценка на ефективността и въздействието на въведените технически и организационните мерки, за да се гарантира сигурността на обработването. Липсва периодична оценка какви са нивата на достъп до публични регистри за проверка на идентичността на лицата, чиито лични данни са обработват, както и оценка изпълняват ли се и ефективни ли са въведените процедури и проверки, които извършват служителите (подизпълнителите). С оглед изложеното съдът приема, че „Изипей“ АД е нарушило разпоредбата на чл. 5, § 1, буква е) и § 2 от Регламент (ЕС) 2016/679 като е обработило личните данни на А. А. С. - Шутилова в противоречие с принципите на цялостност и поверителност и на отчетност. Изцяло се споделя становището на КЗЛД, че най- подходяща и целесъобразна е мярката по чл. 58, § 2, б. г" от Регламент (ЕС) 2016/679, съгласно който всеки надзорен орган има всички от посочените по-долу корективни правомощия: да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. По същество наложената мярка, с характеристика на принудителна административна мярка, има за цел преустановяване на извършваното нарушение, като по този начин се постига дължимото поведение по отношение на защитата на личните данни. По мнение на настоящият състав, това е мярката, отговаряща на принципа за съразмерност (чл. 6 от АПК), която в най- пълна степен съответства на обществения интерес (защита на личните данни на трети лица) и частния такъв (защита от неправомерно обработване лични данни на жалбоподател). Следователно, жалбата на „Изипей“ АД, в частта по т. 3 от Решение № ППН-1-80/2023 г. е неоснователна. С оспореното решение е прието, че“Смарти Консулт“ ООД в качеството му на обработващ личните данни от името на “Изипей“ АД - администратор на лични данни, е нарушил чл. 32, § 4 вр. чл. 29 от Регламент (ЕС) 2016/679, тъй като дружеството не е изпълнило задължението си за обработване на личните данни съобразно указанията на “Изипей“ АД. Цитираната разпоредба, която е тясно свързана с един от основополагащите принципи при обработката на данните, а именно принципа за цялостност и поверителност - чл. 5, § 1, буква е) от Регламент (ЕС) 2016/676, въвежда задължение за обработващия личните данни да предприеме стъпки спрямо всяко физическо лице, което действа под негово ръководство и което има достъп до личните данни на физически лица, да обработва същите само съобразно указанията на администратора на лични данни, т.е. обработващия личните данни следва да предприеме действия спрямо тези физически лица, които да гарантират, че обработката на данните протича съобразно указанията на администратора на личните данни. Тези действия/стъпки по- специално следва да са насочени към проверка/контрол на необходимото ниво на експертните познания на физическите лица в съответствие с извършваните от тях операции по обработване на данните и защитата, която е необходима за личните данни. Непосредствената цел е да се гарантира способността на тези физически лица да изпълняват своите задължения, вкл. проверка/контрол дали и доколко се прилагат въведените от администратора мерки за защита. В тази връзка, отговорността на обработващия лични данни не зависи от това дали негов служител е съзнавал или не, че липсва съгласие на А. А. С. - Шутилова да сключи договор за предплатена карта и дали друго физическо лице се е представило за него, или дали служителят на „Смарти консулт“ ООД е бил наясно, че подписът под съответните документи не е положен от него. Обработващият лични данни не е положил дължимата грижа да идентифицира лицето, за което твърди, че се е легитимирало с личната карта на жалбоподателя – в резултат на това същият е извършил неправомерното обработване без съгласието на субекта на лични данни и носи за това отговорност, независимо от причините поради които отсъства съгласието за обработване. От данните по делото категорично се установи, че в представения пред служител на „Смарти консълт“ ООД документ е налице очевидно несъответствие, което не е взето предвид при идентификация на лицето. Фактът, че след първоначално извършените 2 справки в системата RegiX и последвалото издаване на предплатена карта, са извършени още две справки, навежда на мисълта, че служителят, осъществил идентификацията е имал известни съмнения касателно валидността на представената лична карта. Въз основа на горното, жалбата на „Смарти консулт“ ООД по т. 4 от обжалваното решение се явява неоснователна. Административният орган разполага с оперативна самостоятелност по отношение избора на санкция като в съответствие с предоставените му функции преценява кое от корективните правомощия по чл. 58, § 2 от Регламента да упражни. Както беше посочено, съдът намира за правилен извода на КЗЛД, че в случая и за двете дружества е приложима корективната мярка по чл. 58, § 2, б. „г“ от Регламент /ЕС/ 2016/679. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес. Правомощията по чл. 58, § 2 от Регламента, без това по б. „и“, имат характера на принудителни административни мерки, чиято цел е да предотвратят, респ. да преустановят извършването на нарушение, като по този начин се постигне целеното от него поведение в областта на защитата на личните данни. Административното наказание „глоба“ или „имуществена санкция“, предвидено в б. „и“ на чл. 58, § 2 от регламента има санкционен характер и се прилага в допълнение към мерките по б. „а“ – „з“ и „й“ или вместо тях, т. е. изцяло от преценката на надзорния орган зависи дали да приложи спрямо конкретния случай някоя от посочените в б. „а“ – „з“ и „й“ принудителни административни мерки или да наложи глоба или имуществена санкция или да приложи и някоя от мерките по б. „а“ – „з“ и „й“ съвместно с налагането на административно наказание по б. „и“. Що се отнася до размера на наложеното административното наказание „имуществена санкция“ следва да се има предвид, че същият не е индивидуализиран от административния орган съобразно степента на засягане на обществените отношения по защита на личните данни. Самата цел на нарушението/престъплението предполага пряк умисъл за извършването му, но това е относимо единствено за извършителя. В случая, санкционираното лице не би следвало да е с утежнено положение, по наложената санкция за това, че неустановено трето лице е имало престъпна цел. Целенасочено е поведението на лицето подало данните, но не и на жалбоподателите в качеството им на администратор, съответно обработващ лични данни. При определяне размера на санкцията административният орган само формално е обсъдил елементите на чл. 83, § 5 от Регламент /ЕС/ 2016/679. В действителност наложената санкция предполага злонамерено поведение от страна на жалбоподателите, каквото по делото не се доказа, предвид факта, че за извършената злоупотреба с лични данни има образувано наказателно производство срещу неизвестен извършител. В случая, целта на закона може да бъде постигната чрез налагане на по- леко наказание, като се вземе предвид и фактът, че в санкционната разпоредба не е предвиден минимален размер на административното наказание. В този смисъл, изборът на мярка от КЗЛД се явява подходящ, но несъответен на търсения с нейното налагане санкционен, дисциплиниращ и предупредителен ефект, тъй като същата значително надхвърля необходимото за постигането на посочените цели. Размерът на наложените санкции- 20 000 лв. за „Изипей“ АД и 10 000 лв. за „Смарти консулт“ ООД е необоснован и несправедлив. Макар при определяне на санкциите административният орган да е обсъдил елементите на чл. 83, § 5 от Регламент /ЕС/ 2016/679 и хипотетично да е взел предвид измущественото състояние на дружествата, съдът намира крайния му извод за неправилен. Предвид липсата на данни за претърпени вреди в резултат на нарушението и с оглед наличието на мерки за идентифициране на клиентите (система RegiX) санкцията, наложена на „Изипей“ АД в размер на 20 000 лв. следва да се намали на 10 000 лв. Наложената на „Смарти консулт“ ООД санкция от 10 000 лв. също следва да се намали до размер от 5 000 лв. Жалбоподателят има статут на „микропредприятие“ по смисъла на чл. 3, ал. 3 от Закон за малките и средни предприятия (ЗМСП) поради това, че средносписъчният брой на персонала за предходната 2023 г. е 5 души, т.е. попада в ограничението по чл. 3, ал. 2, т. 1 от ЗМСП, а според последно изготвения годишен финансов отчет за 2023 г. годишният оборот не превишава лимитите по чл. 3, ал. 3, т. 2 от ЗМСП. Би следвало, за да има аргументирано определен размер на санкцията, органът да се съобразява и с финансовата обезпеченост на санкционирания. При този изход на спора в полза на ответника следва да бъде присъдено юрисконсултско възнаграждение в размер на 50 лв., пропорционално на отхвърлената част от жалбата. По отношение претендираните от жалбоподателя „Смарти консулт“ ООД разноски, съдът намира, че му се следват такива за платена държавна такса в размер на 20 лв., пропорционално на уважената част от жалбата. По делото не са представени доказателства за реално заплатено адвокатско възнаграждение, поради което такова не се дължи. Воден от горното и на основание чл. 172, ал. 2 от АПК, съдът