Решение № 17193 от 20.5.2025 г. на Административен съд - София-град по дело № 11237/2024 г.

Производството е по реда на чл.145 и следващи от Административнопроцесуалния кодекс /АПК/. Образувано е по жалба на „Виваком България“ ЕАД /Виваком/ със седалище и адрес на управление в [населено място] срещу Решение № ППН-02-296/2022г. на Комисията за защита на личните данни /КЗЛД, Комисията/ в частта, с която жалбата на А. А. е призната за основателна по отношение на „Виваком България“ ЕАД и на дружеството е наложена "имуществена санкция" в размер на 5000, 00 лв. за нарушение на разпоредбата на чл.32, § 1, б.“г“ от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните, Регламент /ЕС/ 2016/679, Регламент/. С жалбата се твърди, че решението е незаконосъобразно и неправилно, тъй като е постановено в противоречие с действащите материалноправни разпоредби и при допуснати съществени нарушения на административнопроизводствените правила. Сочи се, че дружеството Виваком е предприело гаранции за законосъобразно обработване на данните, като е сключило договор с „В.“ ООД с изрична инструкция за регистрация на предплатени карти, специално заложени задължителни правила при регистриране, включително и чрез извършване на последваща проверка на случая дали те са спазени.В тази връзка се твърди, че не е извършено неправомерно обработване на лични данни на А. А., поради което подадената от нея жалба в КЗЛД е неоснователна.Оспорва се и размерът на наложената санкция, като се твърди неправилно приложение на разпоредбите на чл.83 от ОРЗД.Иска се отмяна на оспореното решение в частта, с която жалбата на А.А. е призната за основателна по отношение на „Виваком България“ ЕАД и на дружеството е наложена имуществена санкция в размер на 5000, 00 лв. за нарушение на разпоредбата на чл.32, § 1, б.“г“ от ОРЗД. Ответникът Комисия за защита на личните данни с писмени бележки оспорва жалбата като неоснователна.Претендира присъждане на разноски за юрисконсултско възнаграждение и прави искане евентуална претенция на жалбоподателя за присъждане на разноски да бъде редуцирана до минимален размер. Заинтересованите страни А. А. А., „Велерс“ ЕООД и „В.“ ООД, редовно призовани не изразяват становище по жалбата. Софийска градска прокуратура не участва в производството. Съдът като взе предвид събраните по делото доказателства, прие за установено следното: Заинтересованата страна А. Я. А., с адрес в [населено място] подала в КЗЛД жалба вх. № ППН-02-296/03.06.2022г. срещу „Виваком България“ ЕАД. В жалбата посочила, че с учудване и притеснение на 06.02.2022г. установила, че е притежател на два телефонни номера, закупени от нейно име, но без нейно съгласие и знание и без да е подписвала каквито й да е договори и декларации за съгласие за обработка на личните й данни. Веднага се свързала с оператора да разбере какво става.Служителят обещал обратно обаждане до два часа. Тъй като не последвал отговор на запитването й А.А. подала жалби в център на Виваком, в І РУ на СДВР и в Прокуратурата. На 18.02.2022г. след напомняне за подадената жалба получила отговор от Виваком, с който била уведомена, че регистрираните на нейно име две предплатени услуги с номера 0877798925 и 0876715982, са прекратени. С жалбата А.А. е поискала КЗЛД да установи извършените нарушения на Закона за защита на личните данни /ЗЗЛД/ и на Регламент /ЕС/ 2016/679 и да наложи санкция на Виваком. „Виваком България“ ЕАД е уведомено за подадената от А.А. жалба и за образуваното административно производство в КЗЛД. Предоставен е срок за изразяване на становище по жалбата и за представяне на доказателства. На 10.10.2022г. в КЗЛД е постъпило становище от „Виваком България“ ЕАД, с което е посочено, че активацията на двете предплатени СИМ карти е извършена от представител на „В.“ ООД, дружество, с което Виваком /към 2006г. БТК Мобайл“ ЕООД, Вивател/има сключен договор за препродажба на карти за предоставяне на предплатени услуги – Договор № 4856/01.08.2006г., Допълнително споразумение №5 към него, Инструкция за регистрация на предплатени карти, допълнително споразумение №7, с които дружеството Виваком е предоставило на търговеца /в случая „В.“ ООД/ в приложението права за създаване, корекция и спиране на права на всяка крайна точка /обект/, което включва собствени обекти, обекти на подизпълнители, както и на търговски представители.В конкретния случай, обектът регистрирал процесните предплатени карти чрез приложението бил „Велерс“ ЕООД. Със становището е заявено, че между Виваком и „Велерс“ ЕООД не съществува правоотношение и че представителят на дилъра, извършил регистрацията на предплатените карти на името на А.А. сам е предоставил данните за идентификация на потребителя, а не ги е получил от Виваком. Д. В. се позовава и на чл.9 от Договора, според която „В.“ ООД отговаря за всички действия, чрез които се извършват услугите, като за свои действия.В тази връзка е посочено, че жалбата на А.А. е неоснователна. На 01.03.2023г. е проведено заседание на КЗЛД, на което жалбата е обявена за допустима, конституирани са страните в административното производство и е възложено извършване на графическа експертиза на заявленията за регистрация на предплатените карти. С писма, изпратени от КЗЛД дружествата „Велерс“ ЕООД, „В.“ ООД и „Виваком България“ ЕАД са уведомени, че са конституирани като ответници, а А. А. като жалбоподател.Предоставена е възможност на страните да представят доказателства и да заявят становище по жалбата. А.А. е уведомена, че следва да предостави сравнителен материал за изготвяне на допуснатата експертиза. В КЗЛД е представено становище от „Виваком България“ ЕАД. Изготвена е графическа експертиза от вещото лице К. И. със заключение, че подписът за „Подпис“ в копие на заявление за регистрация на предплатена карта от 19.01.2022г. от Виваком на името на А. А. за мобилен № 876715982 и подписът за „Подпис“ в копие на заявление за регистрация на предплатена карта от 04.02.2022г. от Виваком на името на А. А. за мобилен № 877798925 са копия на подпис, който не е положен от А. А.. На заседание, проведено на 03.04.2024г. КЗЛД е приела становището на дирекция „Правни производства и надзор“ и е насрочила открито заседание с призоваване на страните за разглеждане на жалбата по същество. Постъпило е становище от „В.“ ООД /л.148/, според което на „Велерс“ ЕООД са дадени права на достъп до Приложението за презареждане и регистрация на „Виваком България“ ЕАД чрез „В.“ ООД, съгласно Договор между дружествата „В.“ ООД и „Велерс“ ЕООД, подписан на 22.03.2019г. Становище е постъпило и от Виваком, с което са описани действията, с които се извършва регистрацията. На 05.06.2024г. е проведено заседание на КЗЛД за разглеждане на жалбата на А.А. по същество.Проведено е обсъждане по същество и след гласуване – гласували трима членове, от които трима „за“ и против „няма“ е прието оспореното решение. С Решение № ППН-02-296/2022 от 05.09.2024г., на основание чл.38, ал.3 от ЗЗЛД, Комисията е обявила жалбата на А. А. срещу „Виваком България“ ЕАД – администратор на лични данни за основателна и на основание чл.83, §4, б.“а“ във вр. с чл.58, §2, б.“и“ от Регламент /ЕС/ 2016/679 за нарушение на чл.32, §1, б.“г“ от Регламент /ЕС/ 2016/679 е наложила на дружеството като администратор на лични данни имуществена санкция в размер на 5000, 00 лв. Решението е съобщено на жалбоподателя на 11.09.2024г.. Жалбата е регистрирана в КЗЛД на 25.09.2024г.. За осъществяване на търговската си дейност дружеството „Виваком България“ ЕАД /като правоприемник на заличения търговец „БТК Мобайл“ ЕООД/ е сключило договор за дистрибуция – продажба на карти №4856/01.06.2006г. с „В.“ ООД, считано от 01.08.2006г. за срок от една година, с клауза за продължаването му за същия срок, която е прилагана многократно. Съгласно договорът „Виваком България“ ЕАД продава на „В.“ ООД карти, с които се предоставят предплатени услуги съгласно Приложение №1 от договора, с цел препродажбата им на крайни потребители. Картите се предоставят по заявка от „В.“ ООД, а „Виваком България“ ЕАД има право да прави проверки във всеки обект на продажба на предоставените на „В.“ ООД карти /чл.4 от договора/.С допълнително споразумение №5/24.10.2017г. към договора е договорен нов начин за регистрация и активация на предплатените карти – чрез уеб базирано приложение, до което се осигурява достъп на „В.“ ООД, по силата на което и съгласно Инструкция за регистрация на предплатени карти, приложение към споразумението, „В.“ ООД следва да обработва от името и за сметка на „Виваком България“ ЕАД лични данни с цел идентифициране на клиенти, които купуват предплатени карти. За изпълнение на задълженията по споразумението „В.“ ООД има право да наема подизпълнители след изрично дадено съгласие от „Виваком България“ ЕАД. Във връзка с изпълнението на задълженията по споразумението обработката на личните данни на физическите лица е уредена като такава между администратор /„Виваком България“ ЕАД/ и обработващ личните данни /„В.“ ООД/. Съгласно Инструкция, приложение №1 „В.“ ООД следва да обработва личните данни на крайните потребители на предплатени услуги на „Виваком България“ ЕАД само за целите на регистрацията и при условията на § 80 от ПЗР на ЗИД на Закона за електронните съобщения /ЗЕС/ във вр. с чл.138г от ЗЕС и ги въвежда в системата на администратора до която е получил индивидуален достъп. А „Виваком България“ ЕАД има право да следи регулярно „В.“ ООД и подизпълнителите му чрез извършване на одити, включително проверки, за това дали търговецът спазва задълженията си за защита на личните данни /т.3.3 от Допълн. споразумение от 24.10.2017г./. На 24.10.2017г. със Заявление - Приложение №2 „В.“ ООД е предоставило на „Виваком България“ ЕАД списък на подизпълнители и обработващи лични данни, сред които под № 85 е записан „Велерс“ ЕООД, одобрен от дружеството жалбоподател. „Велерс“ ЕООД е създаден като обект на „В.“ ООД в системата на „Виваком България“ ЕАД с код 31101280 от 23.08.2019г.. Съгласно сключен договор на 22.03.2019г. дружество „В.“ ООД е възложило на „Велерс“ ЕООД обработка на данни от името и за сметка на „Виваком България“ ЕАД във връзка с идентифицирането на клиенти, които ще закупят карти, чрез които се предоставят комплекти/пакети предплатени услуги. На 16.05.2018г. между „Виваком България“ ЕАД и „В.“ ООД е сключено споразумение за обработване на лични данни /л.89/ към договора от 01.08.2006г., с което отношенията между дружествата отново са такива между администратор на лични данни и обработващ лични данни. Начинът на обработване на личните данни от „В.“ ООД е посочен в Приложение №1, а техническите и организационни мерки за защитата им са посочени в Приложени №2 /л.96, гръб/ към споразумението от 2018г. В т.11.1 на споразумението е записано, правото на одит на Виваком за спазване на изискванията на споразумението.Както пред органа, така и в съдебното производство не са представени доказателства за извършена проверка от „Виваком България“ ЕАД дали „В.“ ООД прилага установените в Приложение №2 технически и организационни мерки за защита на личните данни. С допълнително споразумение от 27.01.2021г. между жалбоподателя и „В.“ ООД са договорени нови функционалности за регистрация и активация на предплатените карти. На същата дата са приети и Инструкция за регистрация и активация на предплатени карти през партньорската мрежа на Виваком – Приложение №1; Инструкция за презареждане на предплатени карти през партньорската мрежа на Виваком и Инструкция за създаване, корекция и спиране на обекти и потребители от партньорската мрежа на Виваком в приложението на РRA. На 19.01.2022г. в 21, 45ч. и на 04.02.2022г. в 18, 47ч. са регистрирани и активирани две предплатени карти на името на А. А. /съществуващ клиент на “Виваком България“ ЕАД/ от обект на “В.“ ООД - “Велерс“ ЕООД, чрез служител Й. И., подизпълнители на “Виваком България“ ЕАД, чрез мобилно приложение. От заявлението за регистрация на първата предплатена карта от 19.01.2022г. се установява, че А.А. е идентифицирана като клиент на “Виваком България“ ЕАД с три имена и ЕГН за предплатена карта с мобилен [тел. номер], сериен номер ICC 893590323001530098462, тарифа FREE2GO. Заявлението е подписано от Й. И., от обект на “В.“ ООД - “Велерс“ ЕООД и от клиента – А.А.. От заявлението за регистрация на предплатена карта от дата 04.02.2022г. се установява, че А.А. е идентифицирана като клиент на “Виваком България“ ЕАД с три имена и ЕГН за предплатена карта с мобилен [тел. номер], сериен номер ICC89359032300153080981. Това заявление също е подписано от Й. И., от обект на “В.“ ООД - “Велерс“ ЕООД и от клиента – А.А.. Съгласно приемо - предавателни протоколи процесните СИМ - карти са предоставени от “Виваком България“ ЕАД на “В.“ ООД, и от “В.“ ООД на “Велерс“ ЕООД. ПРАВНА СТРАНА Жалбата е допустима.Подадена е от адресат на акта, в законоустановения срок и срещу подлежащо на оспорване решение. Разгледана по същество жалбата е неоснователна. Оспореното решение е издадено от компетентен орган, спазени са изискванията за форма и съдържание на акта и не са допуснати съществени нарушения на административнопроизводствените правила.Органът е уведомил страните за започналото административно производство, предоставил е възможност за изразяване на становище по жалбата и представяне на доказателства. Събрани са посочените от страните доказателства, установени са относимите към спора факти, които се потвърждават в хода на съдебното следствие. Трите имена и ЕГН на А.А. са “лични данни“, тъй като са достатъчни за идентифициране на това лице / арг. чл.4 от Регламент /ЕС/ 2016/679/.Събирането, структурирането, записването, употребата и съхранението на личните данни сочи на “обработване на лични данни“. Тези действия са предвидени като такива, които когато се извършват по отношение на личните данни водят до тяхната обработка. С изготвената в административното производство експертиза се установява, че личните данни на А.А. са обработвани без нейно знание и съгласие. Със събраните по делото доказателства се установява, че между трите търговски дружества –„Виваком България“ ЕАД, „В.“ ООД, и „Велерс“ ЕООД са възникнали правоотношения в резултат на конкретни договори и споразумения. Правоотношенията са доброволни и допустими от закона. В тези правоотношения „Виваком България“ ЕАД действа като администратор на лични данни, а „В.“ ООД и „Велерс“ ЕООД като обработващи личните данни от името на администратора на лични данни „Виваком България“ ЕАД. Дейността на „В.“ ООД и „Велерс“ ЕООД по обработка на личните данни е в съответствие с чл.28, §1 и §2 от Регламента. Съгласно чл.32, §1, б."г" от Регламента администраторът на лични данни прилага подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, чрез процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването, а съгласно §2 при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Обработващият лични данни осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията и позволява и допринася за извършването на одити, включително проверки, от страна на администратора или друг одитор, оправомощен от администратора /чл.28, §3, б."з" от Регламента/. Целта на извършването на проверки от администратора на лични данни е установяване на състоянието на техническите и организационни мерки за защита на личните данни, тяхната адекватност и прилагат ли се от обработващия личните данни. В конкретния случай в Приложение №2 към допълнителното споразумение от 16.05.2018г. към договора за обработка на личните данни от 2006г. от администратора на лични данни са записани технически и организационни мерки за защита на личните данни във връзка с дейността по обработване на личните данни на физически лица за целите на регистрация и активация на предплатени карти. Но не е зададен процес на редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационни мерки с цел гарантиране сигурността на данните по отношение на обработващите лични данни - "В.“ ООД и „Велерс“ ЕООД, както и относно адекватността им и прилагането им от двете дружества. По тази причина в периода от установяване на задължението - 25.05.2018г. /датата, от която Регламента се прилага/ до 04.02.2022г., когато е активирана втората предплатена карта дружеството жалбоподател не е изпълнило задължението си за въвеждане на процес за редовно изпитване, преценяване и оценка на ефективността на въведените технически и организационни мерки по отношение на прилагането им и адекватността им, с цел гарантиране сигурността на данните по отношение на обработващите лични данни В.“ ООД и „Велерс“ ЕООД. Сочи се, че проверка е извършена във връзка с подадената от А.А. жалба, но доказателства за проверените обстоятелства не са представени.Неоснователно е възражението, че задължение в тази насока имат само дружествата обработващи личните данни. Както съдът посочи администраторът осъществява одити и проверки, а обработващият личните данни осигурява достъп на администратора до цялата информация, необходима за доказване на изпълнението на задълженията и позволява, и допринася за извършването на одити и проверки от администратора /чл.28, §1, б."з" от Регламента/. Изложеното обосновава правилност на решението на КЗЛД, според което дружеството жалбоподател е извършило нарушение като не е изпълнило задължението си по чл.32, §1, б."г" от Регламента.Жалбата на заинтересованата страна А. А. срещу „Виваком България“ ЕАД правилно е приета като основателна. Правомощията на КЗЛД /надзорен орган/ при установяване на нарушение от администратор на лични данни са посочени в чл.58, §2 от Регламента. Съгласно б."и" на чл.58, §2 от Регламента КЗЛД може да налага административно наказание „глоба" или „имуществена санкция" съгласно чл.83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай. „Имуществената санкция" за извършени нарушения на Регламента, посочени в параграфи 4, 5 и 6, следва да е ефективна, пропорционална и възпираща. За нарушаване на задълженията на администратора и обработващия лични данни по чл.32 от Регламента е предвидена имуществена санкция до 10 000 000 EUR или, в случай на предприятие — до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока. Когато се налага административно наказание „имуществена санкция" се определя нейният размер, като във всеки конкретен случай се разглеждат следните елементи, посочени в чл.83, §2 от Регламента. В случая органът е определил размерът на санкцията като е взел предвид следното: от нарушението е засегнат един субект, а данните обект на неправомерна обработка съставляват обикновена категория лични данни; нарушението е установено към дата 04.02.2022г. по повод осъществявана от дружеството търговска дейност, а периодът на несъответствието обхваща 23.05.2018г. /датата, от която регламента се прилага - арг. чл.99, §2 от същия/ - 04.02.2022г., с обхват на обработката - национален; в резултат на нарушението няма данни за претърпени вреди от А.А.; нарушението има небрежен характер; нарушението е свързано с прилагането на технически и организационни мерки, като отговорност на дружеството е да извършва проверка/контрол на въведените и прилагани технически мерки за защита на личните данни както от него, така и от обработващи, които ползва, а няма данни за наличието на одобрени кодекси за поведение или механизми за сертифициране като елемент за доказване спазването на задълженията за прилагане на технически и организационни мерки за защита на личните данни; за нарушението надзорният орган е сезиран от засегнатото лице по реда на чл.38. ал, 1 от ЗЗЛД, като предвид на това, че случая не попада в хипотезата на чл.33 от Регламент /ЕС/ 2016/679, ответната страна няма задължение да уведомява надзорния орган. Посочено е също, че при направена справка в деловодната система на КЗЛД са констатирани данни за установени с влезли в сила решения на надзорния орган за нарушения на правилата за защита на личните данни, извършени от администратора на лични данни /посочени са четири решения на КЗЛД за нарушение по чл.32, §4 от Регламента, за две нарушения по чл.6, §1 от Регламента, за нарушения по чл.6, чл.5 и чл.24, §1 и §2 от Регламента/. Размерът на санкцията е обоснован и с констатацията за липса на данни в резултат на нарушението администраторът на лични данни да е реализирал финансова полза или да е избегнал загуби. При превес на смекчаващите вината обстоятелства, предвид имущественото състояние на дружеството и при спазване на принципа на съразмерност по чл.6 от АПК Комисията е наложила имуществена санкция в размер на 5000, 00 лв. на “Виваком България“ ЕАД в качеството му на администратор на лични данни на основание чл.83, § 4, буква "а" вр. чл.58, § 2, буква "и" от Регламент /ЕС/ 2016/679 за извършеното нарушение. От изложеното следва, че КЗЛД е взела предвид всички елементи, посочени в чл.83, §2 от Регламента, а определеното административно наказание е ефективно, пропорционално и възпиращо, респ. възможно е да се предотвратят бъдещи нарушения. Жалбата е неоснователна. За да се приеме, че едно деяние е нарушение, то следва да бъде обявено за такова с действаща към момента на извършването му правна норма, която да е приета за нарушена. Разпоредбите на Регламента, с влизането му в сила, считано от 25.05.2018г. стават основният източник на правна регламентация в сферата на защита правата на лицата при обработка на личните им данни и достъпа до тях. Допълнителното споразумение към договорът за обработка на личните данни между “Виваком България“ ЕАД и “В.“ ООД от 2006г., ведно с Приложение №2 към него е сключено на 16.05.2018г. и към този момент дружеството жалбоподател не е имало задължения, произтичащи от Регламента, тъй като липсва изрично правило за придаване на обратно действие на материалноправните му норми. В случая деянията, довели до неправомерно обработване на личните данни на А.А. са извършени на 19.01.2022г. и на 04.02.2022г. /в срока на действие на договора и приложението/, когато са регистрирани и активирани две предплатени карти на нейно име. Регламентация на одита и проверките не е представена от администратора на лични данни и до приключване на съдебното следствие. Неоснователно е възражението на жалбоподателя относно взетите предвид от органа данни за установени с влезли в сила решения на надзорния орган за нарушения на правилата за защита на личните данни, извършени от администратора на лични данни /посочени са четири решения на КЗЛД за едно нарушение по чл.32, §4 от Регламента, за две нарушения по чл.6, §1 от Регламента, за нарушения по чл.6, чл.5 и чл.24, §1 и §2 от Регламента/. Виваком не оспорва съществуването на тези решения, но застъпва становище, че цитираните случаи не касаят регистриране на предплатени карти без знанието на титуляра. Съдът намира, че посочените нарушения може да се разглеждат като евентуални свързани предишни нарушения, извършени от администратора /чл.83, §1, б.“д“ от Регламента/, които са утежняващи вината обстоятелства. При този изход на спора основателна е претенцията на ответника за присъждане на юрисконсултско възнаграждение в размер на 100, 00 лв. Така мотивиран и на основание чл.172, ал.2 от АПК, СЪДЪТ