Решение по дело №2245/2024 на Административен съд - Бургас

Производството е по реда на чл. 39, ал.1 от Закона за защита личните данни/ЗЗЛД/, вр. чл. 145 и сл. от Административнопроцесуалния кодекс/АПК/.

Образувано е по жалба на П. В. А. от гр. Бургас, [улица], вх. А, ет. 1, ап. 2, против отказ на „Кредисимо”ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., обективиран в писмен отговор от 27.11.2024 г. да предостави копие на договор за потребителски кредит № 2999234 от 25.06.2024 г., съдържащ личните и данни, ведно с всички съпътстващи договора документи, по заявление от 30.10.2024 г.

Жалбоподателят, редовно уведомен, не се явява и не се представлява. Писмено е изразил становище за незаконосъобразност на оспорения административен акт. Иска да се отмени. Излага подробни съображения. Претендира разноски.

Ответникът - „Кредисимо”ЕАД, редовно уведомен, не се представлява. Писмено е изразил становище за недопустимост на жалбата, алтернативно за неоснователност. Иска да се отхвърли. Представя административната преписка по издаване на оспорения административен акт. Претендира разноски.

Административен съд Бургас, като взе предвид изложените доводи, съобрази доказателства и закона, намира следното:

Жалбата е подадена в срока по чл. 149, ал. 1 АПК, от лице с правен интерес, при липса на висящо производство пред Комисията за защита на личните данни/КЗЛД/, поради което е допустима.

Разгледана по същество жалбата е основателна, при следните съображения:

На 30.10.2024 г. жалбоподателят П. В. А. е изпратила чрез пълномощник по електронна поща молба с правно основание чл. 37б ЗЗЛД до „Кредисимо” ЕАД в качеството му на администратор на лични данни. Посочила е, че иска да и бъде предоставено копие от договора за кредит, сключен между нея и „Кредисимо” ЕАД, по силата на който дружеството и е предоставило заем в размер на 6000.00 лева, ведно с всички съпътстващи го документи. Същите са носители на личните му данни, които се обработват на основание възникналите облигационни отношения, в съответствие с Регламент /ЕС/ 2016/679 на Европейския парламенти на Съвета/ Общ регламент относно защитата на данните/ОРЗД/, и с цел проверка законността на обработване на данните/л. 18 от делото/.

На 27.11.2024 г. „Кредисимо“ЕАД е изпратило по електронен път до П. А. писмо, в което сочи, че дружеството не е задължено да предостави на кредитополучателя копие от договора за кредит, а копие на личните данни, които са в процес на обработка, в широко разпространен машинно четим формат. Посочило е също, че правомощията на упълномощения адвокат пред „Кредисимо”ЕАД са ограничени единствено до получаване на копие от договора, но не е копие от личните и данни, които са в процес на обработка, доколкото е възможно същите да имат по -широк обхват от тези, вписани в договора за кредит. По тези съображения към писмото не е представено копие на личните данни на А.. Изразена е готовност за представяне след съответното пълномощно/л.19 от делото/.

Допълнително „Кредисимо”ЕАД е представило извлечения от електронна поща, от които е видно, че на 25.06.2024 г. с електронно писмо дружеството е изпратило на А. подписания от нея договор за кредит, стандартен европейски формуляр; декларация с информация за обработването и съхраняването на лични данни за целите на учредяване на обезпечение под формата на поръчителство; декларация за обработване и съхранение на лични данни за целите на директния маркетинг; общи условия на лоялна програма; декларация за обработване на лични данни за целите на усвояване на кредит по дебитна/кредитна карта и информация за присъединяването и към групов застрахователен договор/л.64 от делото/. На 20.08.2024 г. А. е подала заявление по електронната поща на „Кредисимо”ЕАД на основание чл. 15, § 3 Регламент /ЕС/ 2016/679 да и бъде предоставено копие от личните данни, които дружеството обработва във връзка със сключения договор за кредит № 2999234/25.06.2024 г./л.58 от делото/. На 10.09.2024 г. „Кредисимо”ЕАД е изпратило отговор на А. по ел.поща към което е приложено копие на нейните лични данни, в процес на обработка, под формата на електронна справка, в която са посочени трите и имена, ЕГН, адрес по лична карта, рождена дата и данни за личната и карта /номер, дата на издаване/, както и информация за наличните и кредити във финансови институции, в това число активни и новоразрешени кредити. Към отговора не е приложен договора за потребителски кредит, нито поисканите от жалбоподателя съпътстващи документи към договора/л. 58 - 63 от делото/.

Отказът на „Кредисимо”ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., обективиран в писмо от 27.11.2024 г., е предмет на разглеждане в настоящото производство.

При тази установеност се налагат следните правни изводи:

На първо място, отказът е издаден от компетентен орган, по арг. от чл. 39, ал.1 ЗЗЛД.

На второ място, същият е в предвидената писмена форма.

На трето място, при издаването му не са допуснати съществени нарушения на административнопроизводствените правила, които да обосноват неговата отмяна.

На следващо място обаче, материалният закон е приложен неправилно.

Няма спор, че на 25.06.2024 г. страните „Кредисимо“ЕАД - администратор на лични данни по смисъла на чл. 4, § 7 Регламент /ЕС/ 2016/679, и П. В. А. - субект, чиито лични данни са обработвани от дружеството по смисъла на чл. 4, § 2 Регламент 2016/679, са сключили договор за потребителски кредит № 2999234.

Няма спор, че А. има право на достъп до обработваните от администратора нейни лични данни, съгласно чл. 15 Регламент /ЕС/ 2016/679.

За „Кредисимо“ЕАД като администратор на лични данни съществува нормативно установеното задължение да се произнесе по подаденото от субекта на обработваните данни искане, като с оглед разпоредбата на чл. 12 § 3 Регламент 2016/679, информация относно действията, предприети във връзка с искане по чл. 15 - 22, е следвало да предостави без ненужно забавяне.

Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент /ЕС/ 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

Според чл. 4, § 1 Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано / „субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по - специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

В чл. 15 Регламент 2016/679, е предвидено право на достъп на субекта на данните, като в параграф 1 е прието, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните.

Според чл. 15, § 3 Регламент 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

Съобразно чл. 12, § 3 Регламент /ЕС/ 2016/679 администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, като когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

Съгласно чл. 8, § 2 от Хартата на основните права на Европейския съюз /ХОПЕС/ всеки има право на достъп до събраните данни, отнасящи се до него, както и правото да изиска поправянето им.

В конкретния случай, отправеното от жалбоподателя на 30.10.2024 г. по електронен път искане до администратора на лични данни - „Кредисимо“ЕАД, несъмнено има характер на заявление по смисъла на чл. 37б, ал. 1 ЗЗЛД и съдържа реквизитите по чл. 37в ЗЗЛД. Същото е подадено във връзка с упражняване правата чл. 15 Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл. 15, § 3 Регламент 2016/679.

Неоснователно е възражението на ответника, че субектът на данни има единствено правото да получи копие от обработваните лични данни, като правото по чл. 15, § 3 Регламент /ЕС/ 2016/679 не включва получаване на копия от документите, в които те се съдържат.

Това е така, защото съгласно т. 21 от решение на СЕС от 4 май 2023 г. по дело C-487/21: „доколкото в ОРЗД не е дадено определение на така използваното понятие „копие“, следва да се отчете обичайното значение на това понятие, което, както отбелязва генералният адвокат в т. 30 от заключението си, обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение“. Съгласно т. 23 от същото решение „употребата на израза „всяка информация“ в определението на понятието „лични данни“, залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице“. Съгласно т. 45 „член 15, параграф 3, първо изречение от ОРЗД трябва да се тълкува в смисъл, че: правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица“.

Действително копието на лични данни не би следвало да се отъждествява с копие от документи, в каквато насока е било и отправеното от жалбоподателя искане до „Кредисимо”ЕАД, но следва да се отчете, че разпоредбите на Регламент /ЕС/ 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни - сключен договор за потребителски кредит.

В подкрепа на горното е и разпоредбата на чл. 12, § 1 Регламент /ЕС/ 2016/679, съгласно която администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. В чл. 12, § 2 от регламента е вменено задължение на администратора да съдейства за упражняването на правата на субекта на данните по членове 15 - 22.

Неоснователно е възражението на ответника, че като администратор на лични данни е изпълнил задълженията си към А., доколкото и е предоставил както екземпляр от договора за кредит в електронен формат в деня на подписването му - 25.06.2024 г., както и копие на личните и данни в процес на обработка под формата на справка на 10.09.2024 г. Това е така на първо място, защото правото на субекта на личните данни по чл. 15, § 3 Регламент /ЕС/ 2016/679 включва правото да получи копие, при това от всички документи, в които се съдържат личните му данни, в процес на обработване, т.е при всяко поискване, а не еднократно при започване на обработването и не по преценка на администратора относно това кои от поисканите документи да предостави. С електронното писмо от 25.06.2024 г. „Кредисимо”ЕАД е представило на А. само екземпляр от договора за кредит. С писмото от 10.09.2024 г. „Кредисимо” ЕАД не и е предоставило нито договора за кредит, нито съпътстващите го документи, а само справка с данни в процес на обработка.

С издаване на отказа жалбоподателят е бил лишен и от въведеното с чл. 8, § 2 ХОПЕС право на достъп до събраните данни, отнасящи се до него, от възможността да разбере дали тези данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент /ЕС/ 2016/679, както и от възможността на упражни ефективно правото си на защита на тези лични данни, регламентирано в чл. 8, § 1 ХОПЕС.

По изложените съображения, оспореният отказ за предоставяне на изисканата от А. информация за личните и данни във връзка с сключения договор за кредит от 25.06.2024 г. и съпътстващи го документи, е незаконосъобразен и следва да се отмени, а преписката да се изпрати на администратора на лични данни - „Кредисимо“ЕАД, ЕИК/Булстат *********, за ново произнасяне по заявлението на жалбоподателя от 30.10.2024 г. при съобразяване с указанията по тълкуване и прилагане на закона, дадени с настоящото решение в определен срок, съобразно правилото на чл. 174 АПК/ в тази насока решение № 14729 от 27.11.2020 г. по адм. д. № 9910/2020 г., решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., решение № 1159 от 11.02.2025 г. на ВАС по адм.дело № 9474/2024 г., на ВАС V отд./.

При този резултат и предвид направеното искане в полза на жалбоподателя се следват разноски в размер на 10.00/десет/ лева, представляващи дължимата и платена за производството държавна такса, а на адвокат Н. Р., Адвокатска колегия/АК/ Бургас, процесуален представител на А., адвокатско възнаграждение в хипотезата на чл. 38, ал. 1, т. 2 от Закона за адвокатурата/ЗА/, вр. чл. 8, ал. 2, т. 10 от Наредба № 1 от 9.07.2004 г. за възнаграждения за адвокатска работа, в размер на 900.00/деветстотин/ лева.

Мотивиран от изложеното и на основание чл. 172, ал. 2 и чл. 173, ал. 2 АПК, Административен съд Бургас, осми състав,

Р Е Ш И:

ОТМЕНЯ отказ на „Кредисимо” ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., обективиран в писмен отговор от 27.11.2024 г. да предостави на П. В. А., [ЕГН], от гр. Бургас, [улица], вх. А, ет. 1, ап. 2, копие на договор за потребителски кредит № 2999234 от 25.06.2024 г., съдържащ личните и данни, ведно с всички съпътстващи договора документи по заявление от 30.10.2024 г.

ИЗПРАЩА преписката на „Кредисимо” ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., за ново произнасяне по заявление от 30.10.2024 г. на П. В. А., [ЕГН], от гр. Бургас, [улица], вх. А, ет. 1, ап. 2, съобразно мотивите на настоящото решение.

ОПРЕДЕЛЯ 14 - дневен срок за произнасяне от влизане в сила на решението.

ОСЪЖДА „Кредисимо” ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., да плати П. В. А., [ЕГН], от гр. Бургас, [улица], вх. А, ет. 1, ап. 2, разноски в размер на 10.00/десет/ лева.

ОСЪЖДА „Кредисимо” ЕАД, ЕИК/Булстат *********, със седалище и адрес на управление: гр. София, [улица], сграда А, ет. 4, бизнес център „България“, представлявано от И. Ц. К., да плати на адвокат Н. В. Р., Адвокатска колегия/АК/ Бургас, сумата от 900.00/деветстотин/ лева, адвокатско възнаграждение.

Решението може да се обжалва в 14 - дневен срок от съобщението за изготвянето му, пред Върховен административен съд на Република България.