Решение по дело №236/2025 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на М. Е. А., [ЕГН], от [населено място], [улица], чрез адв. М., против отказа на "Кеш Пойнт България" ООД, обективиран в писмо от 28.02.2025 г., да му предостави информация за обработваните лични данни ведно с копие на носителите на тези лични данни.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна.

Поддържа се, че „КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, с ЕИК *********, е администратор на лични данни и е задължен по смисъла на чл. 12 от Регламент /ЕС/ 2016/679 да предприема необходимите мерки за предоставяне на всякаква информация, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Информацията трябва да му се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, както и е длъжен да съдейства за упражняването на правата на субекта на данните по членове 15 - 22 от Регламента. Такава „информация“ в широк смисъл представлява и носителят на личните данни - от една страна, защото това е основанието за събиране на тези данни по смисъла на чл 6, б „б“ от Регламента и от друга, защото копието на документите се желае от страна по него, тоест няма предоставяне на конфиденциална информация, заради която да се откаже достъпът до тези данни. Според жалбоподателя непредставянето на носителя на лични данни от страна на "КЕШ ПОЙНТ БЪЛГАРИЯ" ООД не можело да бъде правно обосновано поради факта, че няма как субектът на данни да е сигурен, че тези данни се обработват легитимно в хипотезата на чл 6, б “б“ от Регламента, ако такъв документ никога не е подписван физически от него и не е получаван физически от него. В глава трета, Раздел 1 от ОРЗД, озаглавен „Прозрачност и условия“, бил закрепен принципът за прозрачност като основна гаранция за правата на субекта на данните и ОРЗД в своите разпоредби, като не оставя място за съмнение, че правото на информация включва и целите на обработване на личните данни, а те са функция на основанието, или винаги администраторът при поискване дължи да предостави копие на това основание, защото правото на достъп на субекта на данните е изяснено в чл. 15 от ОРЗД и на първо място в неговото съдържание са целите на обработването. Релевира доводи, че правото на достъп на субекта на данните е основано на принципа на прозрачност и било право на достъп не само до личните данни, в точен смисъл, както и право на достъп до изброената информация в чл.15 от ОРЗД, а и до носителите на тези данни. Според жалбоподателя не можело да се приеме тезата, че съдържанието на правото по чл. 15 от ОРЗД се свеждало само и единствено до копие от данните по чл.15 § 1 буква Б от ОРЗД, защото това било превратно и несъответно на тълкуването на правната норма. Моли съда да отмени изричния отказ на "КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, с ЕИК *********, със седалище и адрес на управление: [населено място], р-н Младост, [улица] Е, ет. 5, представлявано от Н. П. П. - управител, да предостави носителите на лични данни, въз основа на които обработва данните на М. Е. А., с [ЕГН], а именно договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от М. Е. А., с [ЕГН], във връзка с отпускане на заем, както и да се задължи ответникът в срок от 7 /седем/ дни от влизане в сила на решението да предостави документите на жалбоподателя. Иска се присъждане на сторените в съдебното производство разноски.

За ответника – "Кеш Пойнт България“ООД се представя писмено становище за неоснователност на жалбата. Твърди, че дружеството е било сезирано от жалбоподателя с искане извън обхвата на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Общ регламент относно защитата на данните), поради което не е възникнало и задължение за предоставяне на копия от носители на лични данни. Претендира се присъждане на юрисконсултско възнаграждение.

По допустимостта на жалбата:

Според публично достъпните данни, отразени от Регистър на финансовите институции по чл. 3а от Закона за кредитните институции (ЗКИ) (https: //www. bnb. bg/RegistersAndServices/RSFIRegister/index. htm), актуални към 29.04.2025 г., дейността на "Кеш пойнт България" ООД е отпускане на кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства. Дружеството е вписано в регистъра със заповед № БНБ -09660/24.01.2023 г. и има качеството на финансова институция по смисъла на чл. 3, ал. 1 от ЗКИ, извършваща дейност на територията на Република България и насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)

Съобразно установената съдебна практика (Решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице, поради което жалбата като подадена в предвидения процесуален срок, при наличието на правен интерес срещу акт, подлежащ на съдебен контрол, се явява ДОПУСТИМА.

Разгледана по същество, същата е и ОСНОВАТЕЛНА.

Между страните не се формира спор по обстоятелството, че жалбоподателят е отправил искане до "Кеш Пойнт България" ООД с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договор за кредит. Не се спори и по факта, че освен информацията за обработваните лични данни в искането е било заявено и изрично желание на лицето за получаване на копие от сключения договор за кредит. Това обстоятелство се потвърждава и от изявленията на "Кеш пойнт България ООД.

Не се спори и по обстоятелство, че с оглед дейността на "Кеш Пойнт България" ООД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Не се спори и по обстоятелство, че между жалбоподателя и "Кеш пойнт България" ООД съществуват облигационни отношения, произтичащи от сключен между страните договор за кредит. Макар този договор да не е представен по делото, по причина на процесуалното поведение на ответника, който е бил задължен от съда да представи пълната преписка по оспорения отказ, съдът приема за доказано, че жалбоподателят е субект, чийто лични данни са обработвани от дружеството ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679 "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните... ".

Достъпът до обработваните лични данни съгласно чл. 15, параграф 3 от Регламент 2016/679 се предоставя от администратора чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателя искане от 04.02.2025 година до "Кеш Пойнт България" ООД има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД. В искането са били попълнени реквизитите по чл. 37б, ал. 2 от ЗЗЛД, в частност, че като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено и предоставянето на копие от сключения договор за кредит на изрично посочена електронна поща.

Тук следва да се отбележи, че ако ответникът като администратор на лични данни е имал съмнение с каква цел е заявено искането на жалбоподателя за представяне на копие от сключения с нея договор за кредит, е следвало да процедира по реда на чл. 12§ 2 от Регламент 2016/679 - "Администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните". В случая, от съдържанието на оспореното писмо е видно, че за администратора не е имало никаква пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Съгласно чл. 12, § 1 от Регламента администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/679, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин.

Подаденото от жалбоподателя искане от 04.02.2025 г. е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679 администраторът е длъжен да предостави копие от личните данни на субекта.

Действително копието на лични данни не би следвало винаги да се отъждествява с копие от документа, в който се съдържат тези данни. Въпреки това следва да се отбележи, че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит, и именно този договор се явява носител на информация за обработваните лични данни по см. на чл. 15, § 1 от Регламент 2016/679.

В т. 1 от диспозитива на решение на СЕС от 26.10.2023 г. по дело С-307/22 е посочено, че член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че: администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент.

В случая, отново поради процесуалната пасивност на ответника по делото не се ангажират доказателства на жалбоподателя да е било предоставяно първо копие от документите, съдържащи личните му данни (информация по см. на чл. 4, § 15 ОРЗД).

От представеното към оспореното писмо Приложение № 1 се установява, че личните данни на жалбоподателя са били в процес на обработка към датата на иницииране на производството пред администратора на лични данни.

В случая не са налице и ограничения по смисъла на чл. 23, § 1 и § 2 от Регламент 2016/679 по отношение обхвата на задълженията и правата, предвидени в чл. 12-22 Регламент 2016/679 на администратора на лични данни, които да обосновават издаването на пълен или частичен отказ по реда на чл. 37а ЗЗЛД.

Ответникът не доказва и хипотезата на чл. 12, § 5, б. "б" от Регламент 2016/679 за явно неоснователен или прекомерен характер на искането.

Спорният правен въпрос по делото е следният: правата на субекта на личните данни изискват ли от администратора да предостави носителите на основанията за обработване на личните данни и по-специално сключените договори за кредит и съпътстващите ги задължителни частни документи, които обективират и основанието за обработване на личните данни, както и информация за категориите лични данни и техните получатели.

Относно възражението на ответника, че в случая е налице превратно упражняване на права от страна на жалбоподателя, тъй като се цели добиване на информация за параметрите на кредита (размер на вноски, лихви, проценти и такси), следва да се посочи, че същият като страна по договорите има право на достъп и до тази информация, което право не се конкурира с правото му по ЗЗЛД и Регламент 2016/679 за достъп до съдържащите се в тях лични данни. Отделно ответникът не ангажира доказателства да е удовлетворил алтернативното искане на заявителя, на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит да му се предоставят копие от договора му за потребителски кредит.

С отказа на администратора да предостави копие от сключения договор за кредит е преградена възможността жалбоподателя да упражни правата, които му предоставя чл. 15 от Регламент 2016/679. В този смисъл ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Мотивиран от горното, при проверката по чл. 168 от АПК съдът намира, че оспореният отказ е издаден в противоречие с материалноправните разпоредби и целта на закона, поради което подадената срещу него жалба се явява основателна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия съобразно задължителните указания по тълкуването и прилагането на закона.

По разноските:

Предвид изхода на делото на жалбоподателя следва да се присъдят сторените съдебни разноски, които се доказват в размер на 10 лева, заплатени за държавна такса по производството.

Основателна се явява и претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита. В случая на основание чл. 38, ал. 2 от Закона за адвокатурата е заявено възнаграждение в размер на 1000 лева. Според чл. 38, ал. 2 от ЗАдв в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати.

Съгласно чл. 8, ал. 2,т.10 от Наредба № 1 от 9.07.2004 г. за процесуално представителство, защита и съдействие по административни дела по ЗЗЛД минималното възнаграждение е в размер на 900 лв. Претенцията на процесуалния представител на жалбоподателя е за присъждане на разноски за адвокатска защита в посочения минимален размер. Съдът намира, че този размер не се явява прекомерен. На основание чл. 38, ал. 2 от ЗАдв. съдът определя възнаграждението в размер 900 лева за указаната на жалбоподателя от адвокат М. безплатна правна помощ.

 

Мотивиран от изложеното и на основание чл. 172, ал. 2 вр. с чл. 173, ал. 1 от АПК Административен съд Стара Загора

 

Р Е Ш И:

 

ОТМЕНЯ изричния отказ на "КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, с ЕИК *********, със седалище и адрес на управление: [населено място], р-н Младост, [улица] Е, ет. 5, представлявано от Н.П.П.- управител, да предостави носителите на лични данни, въз основа на които обработва данните на М.Е.А.Е , с [ЕГН],

 

ВРЪЩА преписката на КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, с ЕИК *********, със седалище и адрес на управление: [населено място], р-н Младост, [улица] Е, ет. 5, представлявано от Н. П. П.– управител, за предприемане на действия по искането на М.Е.А., [ЕГН] от [населено място], [улица], съобразно дадените от съда задължителни указания по тълкуването и прилагането на закона.

 

ОПРЕДЕЛЯ едномесечен срок за изпълнение на съдебното решение, считан от влизането му в сила.

 

ОСЪЖДА „КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, с ЕИК *********, със седалище и адрес на управление: [населено място], р-н Младост, [улица] Е, ет. 5, да заплати на М.Е.А., [ЕГН] от [населено място], [улица], сумата от 10 (десет) лева, представляваща съдебни разноски.

ОСЪЖДА „КЕШ ПОЙНТ БЪЛГАРИЯ" ООД с ЕИК *********, със седалище и адрес на управление: [населено място], р-н Младост, [улица] Е, ет. 5, да заплати на Еднолично адвокатско дружество „М.“ възнаграждение в размер на 900 лева за оказана безплатна правна помощ на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата.

 

Решението подлежи на обжалване с касационна жалба пред Върховния административен съд на Република България в четиринадесетдневен срок от съобщаването на страните за неговото постановяване.