Решение № 810 от 24.2.2026 г. на Административен съд - Пазарджик по дело № 1403/2025 г.

Производството е по реда на чл. 145 и сл. от Административно процесуалния кодекс във връзка с чл. 84, ал. 2 от Закона за защита на личните данни. Образувано е след като с Определение постановено по адм. д. № 5604/2025 г. по описа на Административен съд София-град делото е изпратено по реда на местната подсъдност на Административен съд – Пазарджик за разглеждане на жалба на „Богдан Транс“ ООД, ЕИК 202486193, срещу Решение № ППН-02-226/2024 от 03.04.2025г. на Комисията за защита на личните данни (КЗЛД или Комисията), с което на основание чл. 58, § 2, б. „и“ от Регламент (ЕС)2016/679 на дружеството е наложено административно наказание - имуществена санкция в размер на 2 000 лева, съгласно чл. 83, § 5, б. „а“ за нарушение на чл. 5, §1, б. „а“ и „б“ от Регламент (ЕС) 2016/679. Съгласно чл. 133 АПК, настоящият състав намeрил спора за подсъден на Административен съд – Пазарджик и го е приел за разглеждане. В жалбата са релевирани твърдения за незаконосъобразност на оспореното решение, неправилност и необоснованост. Излага доводи за несъобразяване с обстоятелствата, относими за преценката по чл. 28 и чл. 27 от Закона за административните нарушения и наказания (ЗАНН). Претендира отмяна или изменение на решението, като определеният размер бъде редуциран, тъй като нарушението е първо по ред, съдействано е в производството, което според жалбоподателя води до основание за прилагане на посочените по-горе разпоредби и намира, че са налице смекчаващи вината обстоятелства. Ответникът - Комисията за защита на личните данни, в депозирани писмени бележки оспорва жалбата. Претендира отхвърляне на жалбата и присъждане на юрисконсултско възнаграждение. Моли в случай на претендиране на разноски над установения размер, същият да бъде редуциран. Административен съд - Пазарджик, като взе предвид изложеното в жалбата и представените по делото писмени доказателства, прие за установено от фактическа страна следното: Административното производство пред Комисията за защита на личните данни е образувано по повод постъпил сигнал/жалба от М. Х. с твърдение за неправомерно обработване на личните му данни. Х. е посочил, че на 11.03.2024 г. е получил по пощата уведомително писмо за наложена глоба от Германия, за това че при управление на служебен камион на „Богдан транс“ ООД, е извършил пътнотранспортно нарушение. Уточнил е, че нарушението е било извършено на 20.12.2023г. в 23.29 часа в Германия, като по товавреме вече не е имал трудови правоотношения с посочената фирма той и не е бил в тази държава. Към момента на подаване на жалбата работи като шофьор към фирма „Стад-Близнаков“ ЕООД – Благоевград, а трудовото правоотношение с „Богдан транс“ ООД било прекратено считано от 03.04.2018 г.. С писмо от КЗЛД е изискана информация от „Богдан Транс“ ООД с оглед изясняване на фактите и обстоятелствата посочени в сигнала. В отговор дружеството е посочило, че е станало недоразумение, както и че ще бъдат предприети действия по информиране на компетентните органи в Германия за грешката. Пояснява начина на предоставяне на информация, а именно, че след „влизане“ на посочен електронен адрес, системата на чуждата държава генерира електронно съобщение до дружеството, в отговор, на което са въведи данните на жалбоподателя, копие, от което не съхраняват. Допълва, че информацията за водача на превозното средство се предоставя по електронен път и че самата електронна форма изисква посочване на имена и адрес. От страна на дружеството не е посочена конкретна дата, а период 18-28.02.2024 г., в който са предоставили данните. Пояснява, че до подадената информация вече нямат достъп от България. Заявява, че на 19.06.2024г. след като са узнали за допусната грешка, са информирали немските власти с оглед корекция на данните на нарушителя. В отговор на изявлението на дружеството М. Х. е посочил, че мерки не са предприети доколко данните във фиша издаден на Х. не са заличени, а наложената глоба не е платена. Счита, че така квалифицираната от страна на дружеството „техническа грешка“, съставлява неправомерно използване на личните му данни, което е довело до неблагоприятни последствия. Допълва, че в случай на проверка, би било отнето свидетелството за управление на МПС. Комисията е приела, че от събраните доказателства се установява, че в действителност в качеството си на работодател по сключен трудов договор № 0068/25.09.2017 г., на основание чл. 6, §1, б. „б“ от ОРЗД администраторът „Богдан транс“ ООД придобива и обработва личните данни на жалбоподателя. Изпълнявайки задължението си, произтичащо по чл. 6, §1, буква „в“ от ОРЗД дружеството предоставя данните на трето лице - държавните органи на Федерална република Германия. Посочено е от административния орган, че за „Богдан транс“ ООД е възникнало задължение да предостави данни, но в качеството му на работодател и администратор - дружеството е било длъжно да извърши проверка за установяване на действителния извършител, а именно служителят, който на 20.12.2023 г. в 23:39 часа е управлявал служебното превозно средство [рег. номер]. Същият е следвало да се увери, че лицето, което посочва на другия администратор, към момента на извършване на нарушението, упражнява трудова дейност в дружеството. Установено е от комисията, че нарушението е извършено на 20.12.2023г., т. е. след 04.04.2018 г., когато е било прекратено трудовото правоотношение с Х., което обстоятелство преди подаване на информацията е имало как да се провери от администратора и безспорно му е било известно. При така констатираната фактическа обстановка, а именно че личните данни на Х. са предоставени на компетентните органи в период 18.02.2024г - 28.02.2024г., т. е. повече от шест години след прекратяване на правоотношението с работодателя му - „Богдан транс“ ООД и с оглед, че той безспорно не е действителният нарушител, КЗЛД е обосновала извода, че „Богдан транс“ ООД е осъществил нарушение на принципите, разписани в чл. 5, §1, буква „а“ и „б“ от Регламент (ЕС) 679/2016, за законосъобразно, добросъвестно и по прозрачен начин обработване по отношение на субекта на данни, които са събрани за целите на трудовото правоотношение и са обработени по-нататък по начин несъвместим с тези цели. Комисията за защита на личните данни е приела, че не са събрани данни и доказателства за прилагане на алтернативно дадените и равнопоставени основания, предвидени в чл. 6, § 1 от ОРЗД, което прави обработването на лични данни на Х. незаконосъобразно и в нарушение на принципа на чл. 5, § 1, буква „а“ от Регламента. Така мотивирана Комисията се е произнесла с атакуваното решение. В хода на съдебното производство доказателствени искания не са обективирани, при дадения ход по същество управителя на фирмата излага твърдения, че информация на германските власти не е предоставял. В подкрепа на твърдението не ангажира никакви доказателства. Въз основа на така установеното от фактическа страна Административен съд – Пазарджик намира жалбата за допустима, като подадена в срок, от легитимирано за това лице и срещу подлежащ на оспорване индивидуален административен акт. Разгледана по същество е неоснователна. Съгласно разпоредбата на чл. 146 от АПК, съдът преценява законосъобразността на административния акт, като проверява дали е издаден от компетентен за това орган и в съответната форма, спазени ли са административнопроизводствените правила и материалноправните разпоредби по издаването му и съобразен ли е с целта, която преследва законът. Извън правомощията на съда е да преценява целесъобразността на административния акт. Съобразявайки горното, оспорената заповед е издадена от компетентен за това административен орган врамките на законоустановените му правомощия. Нормата на чл. 6, ал. 1 от ЗЗЛД визира, че КЗЛД е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон и на Регламент (ЕС) 2016/679. Съгласно чл. 10 от ЗЗЛД, КЗЛД изпълнява задачите по чл. 57 от Регламент (ЕС) 2016/679. Правомощието на КЗЛД за извършване на проверки е регламентирано изрично в нормата на чл. 12 от ЗЗЛД, съгласно която, председателят и членовете на комисията или упълномощени лица от администрацията й, осъществяват контрол чрез проверки за спазване на Регламент /ЕС/ 2016/679. Чл. 33 от Регламент (ЕС) 2016/679 е посочено, че в случай на нарушение на сигурността на личните данни администраторът, без ненужно забавяне и когато това е осъществимо - не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението на сигурността на личните данни надзорния орган, компетентен в съответствие с член 55, освен ако не съществува вероятност нарушението на сигурността на личните данни да породи риск за правата и свободите на физическите лица. Уведомлението до надзорния орган съдържа причините за забавянето, когато не е подадено в срок от 72 часа. В чл. 55 от Регламент /ЕС/ 2016/679 е посочено, че всеки надзорен орган е компетентен да изпълнява задачите и да упражнява правомощията, възложени му в съответствие с регламента, на територията на своята собствена държава членка. В случая надзорен орган по защита на личните данни е КЗЛД, съгласно чл. 10 от ЗЗЛД, както беше посочено, която с оспореното решение е упражнила своите правомощия по чл. 58, § 2 от Регламент /ЕС/ 2016/679. Доколкото комисията е сезирана със сигнал за наличие на нарушение ЗЗЛД, то в нейните правомощия е да се произнесе с решение, което подлежи на оспорване пред административния съд. На основание чл. 9, ал. 4 във връзка с ал. 3 от ЗЗЛД решенията на Комисията се вземат с мнозинство от общия брой на членовете й, който съгласно чл. 7, ал. 1 от ЗЗЛД и чл. 4, ал. 1 от Правилника е председател и 4-ма членове при проведено открито заседание. След като изрично не е посочен вида на мнозинството, се приема, че то е обикновено, а не квалифицирано. Правилата за кворума и мнозинството са изложени в чл. 8, ал. 6 и ал. 7 от ПДКЗЛДНА: заседанията на Комисията се провеждат, ако на тях присъстват най-малко трима от нейния състав. Комисията взема решения чрез явно гласуване с мнозинство от 4 гласа. На проведеното на 26.02.2025 г. заседание на КЗЛД, когато е взето оспореното в настоящото съдебно производство решение, са присъствали председателят и трима от членовете на Комисията. Решението е прието с мнозинство, като четирите гласа са достатъчни по закон. Предвид това, настоящият съдебен състав намира, че актът е постановен от компетентен орган и не е налице отменителното основание по чл. 146, т. 1 от АПК. Административният акт е издаден в изискуемата писмена форма и е обективиран като решение, съгласно изискването на закона. Решението съдържа всички изискуеми реквизити, предвидени в чл. 59, ал. 2 от АПК, включително фактическите и правни основания за негово издаване. Волята на органа е обективирана в диспозитивната част, като решението съответства на изложените мотиви. Не се доказва наличие на порок във формата на акта, представляващ самостоятелно основание за неговата отмяна по смисъла на чл. 146, т. 2 във връзка с чл. 59, ал. 2, т. 4 от АПК. В настоящия случай, административното производство по издаване на оспореното решение както прежде бе отбелязано, е започнало по подадено на основание чл. 33 от Регламент (ЕС) 2016/679, Уведомление (сигнал)за нарушение на сигурността на личните данни. Редът за разглеждане на уведомлението е разписан в Правилника за дейността на КЗЛД и нейната администрация (раздел VІІ, чл. 62 и чл. 63) и същия е различен от този по Раздел II от ППКЗЛДНА във връзка с чл. 38 и сл. от ЗЗЛД. Съгласно цитираните разпоредби, след регистриране на уведомлението, съответната дирекция, в едномесечен срок извършва анализ на постъпилата информация за пълнота на данните по чл. 33, § 3 от Регламент (ЕС) 2016/679, съответно чл. 67, ал. 3 от ЗЗЛД, при който се изясняват конкретни въпроси, в това число се определя нивото на риска. След това се изготвя мотивиран доклад от дирекцията до КЗЛД с предложения, в т. ч. за извършване на проверка по документи или на място, съобразно предложеното ниво на риск. За решението на Комисията се уведомява администраторът, а при необходимост и други, свързани с нарушението, страни. В случая, на заседание, проведено на 23.10.2024 г. жалбата на Х. е приета за допустима и е насрочено открито заседание на 26.02.2025 г.. Несподелими са доводите на жалбоподателя, че в случая са приложими нормите на Закона за административните нарушения и наказания (ЗАНН). С разпоредбата на чл. 12 от ЗЗЛД, на председателя и членове на комисията или на упълномощени от тях лица от администрацията са възложени правомощия за осъществяване на контрол чрез предварителни консултации, проверки и съвместни операции за спазване на Регламент (ЕС) 2016/679 и на този закон, които съгласно чл. 12, ал. 7 от ЗЗЛД завършват с констативен акт, като в случаите, когато е установено нарушение констативният акт е акт за установяване на административното нарушение по смисъла на ЗАНН. От анализа на посочените законови разпоредби се стига до извода, че органите, които осъществяват контрол за спазване на Регламент (ЕС) 2016/679 са: 1/ Комисията на основание чл. 10, ал. 1, т. 7 по реда на чл. 38 и чл. 39 от ЗЗЛД и 2/ Председателят на КЗЛД и членовете на комисията или упълномощени от тях лица от администрацията на основание чл. 12 от ЗЗЛД. Редът, по който се осъществяват двата вида контрол е различен. Когато Комисията е сезирана с жалба /сигнал/ от физическо лице (какъвто е процесният случай), което твърди, че са му нарушени правата по ЗЗЛД, тя се произнася, съгласно чл. 38, ал. 2 с решение. Съгласно дадените от закона в този случай правомощия тя постановява решение, с което може: а/ да даде задължителни предписания, б/ да определи срок за отстраняване на нарушението и в/ да наложи административно наказание. Административните наказания, които могат да бъдат наложени по Регламент (ЕС) 2016/679 от компетентните органи, съгласно чл. 82 от Регламент (ЕС) 2016/679 са два вида: имуществена санкция или глоба. Видът и размерът на наказанието зависи от това дали администраторът е юридическо или физическо лице и какво е извършеното нарушение. Безспорно установена в практиката на административните съдилища в страната е възможността, предвидените административни наказания, да бъдат налагани както в рамките на производство по реда на ЗАНН, в случаите по чл. 12 ЗЗЛД, така и по реда на АПК, в случаите когато КЗЛД действа като колективен административен орган, чиито актове - решения, се обжалват по реда на АПК. В този смисъл е Решение № 6293/11.06.2025 г. по адм. д. № 2070/2025 г. по описа на Върховен административен съд. Следователно, като е обективирала в решение правомощието си на основание чл. 5, § 2, б. „и“ във вр. с чл. 83, § 5, б. а от Регламент (ЕС) 2016/679, за налагане на наказание за извършено нарушение на чл. 5, § 1, б. „а“ и б. „б“ КЗЛД е упражнила законосъобразно нормативно установените си функции, свързани с контрола по спазването на Регламент (ЕС) 2016/679. Предвид изложеното, доводите на оспорващия, че следва да се прилагат нормите на ЗАНН, са неоснователни. Изложеното обосновава извод, че в хода на адаминистративното производство не са допуснати нарушения на административно производствените правила, които да бъдат квалифицирани като съществени по смисъла на чл. 146, т. 3 от АПК и да обуславят отмяната му. Въпреки липсата на изложени упреци във връзка с основанията предвидени в чл. 146 АПК, предвид нормативноустановеното задължение в чл. 168 АПК, както прежде бе посочено съдът дължи проверка законосъобразността на оспореното решение в цялост, като намира същото за постановено и в съответствие с приложимите материалноправни разпоредби и целта на закона. В разпоредбата на чл. 4, т. 7 от Регламент 2016/679 се определя, че администратор на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с друг определя целите и средствата за обработване на лични данни, когато целите и средствата за това обработване се определя от правото на съюза или правото на държавата членка. В т. 8 от Регламента е записана и дефиницията на "обработващ лични данни", а именно: "физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора". В този смисъл, за да носи отговорност едно лице за обработване на личните данни на друго лице в нарушение на ЗЗЛД и Регламент 2016/679, то лицето използващо неправомерно данните следва да има качеството "администратор" или "обработващ лични данни". По делото не се спори, че „Богдан транс“ ООД е администратор на лични данни Съгласно легалното определение на чл. 4, ал. 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Според заложеното в чл. 5 от Регламент 2016/679, личните данни следва да се обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните ("законосъобразност, добросъвестност и прозрачност"); да се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели ("ограничение на целите"); да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват ("свеждане на данните до минимум"); да са точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват ("точност"); да са съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните ("ограничение на съхранението"); да са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). Принципът за отчетност, регламентиран от чл. 5, § 2 от ОРЗД гласи, че администраторът на лични данни носи отговорност и следва да е в състояние - във всеки момент, да докаже - при обработване личните данни на физическото лице, спазване на принципите, закрепени в чл. 5, § 1 от Регламента. С оглед наличните по делото доказателства обоснован и законосъобразен е изводът на административния орган, че „Богдан Транс“ ООД предприело действия по неправомерно обработване на лични данни чрез предоставянето на германските власти на лични данни на бивш свой служител М. Х., вместо на действителния водач на МПС, с което е извършено нарушение на територията на ФР Германия. Именно грешното предоставяне на данни на Х. на държавен орган, на който макар и длъжни да отговорят, съставлява нарушение, което не може да бъде подведено по текста на чл. 6, § 1 от ОРЗД за допустимо обработване на лични данни. Твърденията изложени едва в откритото съдебно заседание, неподкрепени с доказателства, че данни всъщност не са предоставяни, не могат да разколебаят установеното в хода на производството пред КЗЛД. Същите са противоречиви и голословни, изложени едва след произнасяне на КЗЛД и не в касационната жалба, а в хода на устните състезания. Настоящият съдебен състав намира, че в случая е неприложима хипотезата на освобождаване от отговорност на администратор или обработващ лични данни съгласно чл. 83, § 2 и ал. 3 от ОРДЗ, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Тежестта да докаже, че са взети подходящите мерки, е на администратора/обработващия. Администраторът/обработващият следва да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни, което в случая не е сторено. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с този регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 от ОРЗД е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Както се каза такива данни подкрепени с доказателства не са налице. В обобщение на изложеното, настоящият съдебен състав обосновава извод, че административният орган законосъобразно е приел, че оспорващото дружество е допуснало нарушение на основни принципи при обработването на личните данни, установени в чл. 5, § 1, б. „а“ и „б“. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените й функции преценява кое от корективните правомощия по чл. 58, § 2 от Регламент (ЕС) 2016/679 да упражни. Преценката следва да се основава на съображенията за целесъобразност и ефективност на решението при отчитане особеностите на всеки отделен случай и степента на засягане на интересите на конкретните физически лица – субекти на данни, както и на обществения интерес. Правомощията по чл. 58, § 2 от Регламент (ЕС) 2016/679, без това по б. "и", имат характера на принудителни административни мерки (ПАМ), чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне целеното поведение в областта на защитата на личните данни. Административното наказание "глоба" или "имуществена санкция", предвидено в б. "и" на чл. 58, § 2 има санкционен характер и се прилага в допълнение към мерките по б. "а" – б. "з" и б. "й" или вместо тях. Изцяло от преценката на надзорния орган зависи дали да приложи спрямо конкретния случай някоя от ПАМ, регламентирани в б. "а" – "з" и "й" или да наложи административно наказание "глоба" или "имуществена санкция" или да приложи и някоя от мерките съвместно с административно наказание по б. "и". При определяне на корективната мярка следва да бъде съобразена целта, която се преследва с налагането й и дали с изпълнението й тази цел ще бъде постигната. В процесния случай, в условията на предоставената й оперативна самостоятелност, КЗЛД е приела да приложи корективната мярка по чл. 58, § 2, б. „и“ от Регламент /ЕС/ 2016/679 – „имуществена санкция“. Общите условия за налагане на административни наказания „глоба“ или „имуществена санкция“ са регламентирани в чл. 83 от Регламент /ЕС/ 2016/679. В § 2 на чл. 83 е предвидено, че при вземане на решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и при определяне на техния размер, във всеки конкретен случай надлежно се разглеждат елементите, изчерпателно посочени в б. б. "а" – "к". В случая Комисията е наложила минималната предвидена имуществена санкция на дружеството. При определяне размера комисията е съобразила, че администраторът е предприел последващи действия да бъдат премахнати данни на Х., като е уведомил немските власти за действителния нарушител, а именно чрез електронно съобщение от 19.06.2024г., изпратено на посочен имейл за контакт с отдел „Парични санкции“ към окръг Ландсбург - Екернфьорде, което е прието за отговорно поведение на администратора спрямо субекта на данни. Обсъдено е както обстоятелството, че нарушението е първо по ред за администратора, така и размерът на годишния оборот за 2023 г. - 266 000 лв.. Съдът намира, че размерът на санкцията е съразмерен с тежестта и продължителността на нарушението и е определен в съответствие с принципите установени чл. 83, § 1 от Регламент /ЕС/ 2016/679 и след като същата е в минималния размер, не следва да бъде редуцирана. С оглед на изложеното жалбата на „Богдан Транс“ ООД следва да бъде отхвърлена като неоснователна. При този изход на спора и на основание чл. 143, ал. 3 от АПК на ответника се дължат разноски за юрисконсултско възнаграждение в размер определен на основание чл. 24 от Наредбата за заплащане на правната помощ.