Решение по адм. дело №271/2025 на Административен съд - Ямбол

Производството е образувано по жалба на Б. С. Б. от [населено място] против отказ, обективиран в Писмо от 27.06.2025 г. на П. Л. - длъжностно лице ЗЛД в „СИТИ КЕШ“ ООД, в частта, с която е отказано предоставяне на копия на сключените договори за кредит, както и в частта, в която не е предоставена информация за извършените във връзка с договорите плащания.

Твърди се, че оспореният отказ е незаконосъобразен, тъй като е постановен при съществено нарушение на административнопроизводствените правила, в противоречие с материалноправните разпоредби и с целта на закона - основания по чл. 146, т. 3, т. 4 и т. 5 от АПК. Излагат се аргументи, че полученият отговор по депозирано от жалбоподателя на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година пред администратора на лични данни заявление и приложенията към отговора не отговарят на изискванията на Регламента. Сочи се, че в отговора липсва пълно потвърждение на обработваните лични данни по смисъла на чл. 15 от Регламента, както и че по същество се отказва да бъде предоставено копие на сключените договори за кредит и на данните за извършените по тях плащания. Навеждат се доводи за допуснати в случая редица нарушения на относимия към казуса регламент. Иска се отмяна на оспорения отказ в посочените части и връщане на преписката за ново произнасяне по подаденото заявление, както и присъждане на направените по делото разноски.

В съдебно заседание жалбоподателят, редовно призован, не се явява и не изпраща представител. С постъпила от оспорващия, чрез процесуалния му представител молба вх. № 2286 от 08.10.2025 г. жалбата се поддържа, като се изразява становище по съществото на спора с приложени писмени бележки. Иска се отмяната на оспорения отказ с присъждане на разноски, като към депозираната молба са приложени и доказателства за извършването им.

Ответната страна – „СИТИ КЕШ“ ООД, редовно призована, не изпраща представител в съдебно заседание. В представено по делото Писмено становище вх. № 1751 от 14.07.2025 г. депозираната жалба се оспорва изцяло като неоснователна с излагане на подробни съображения по съществото на спора. Иска се съдът да я отхвърли с присъждане в полза на ответника на разноските по производството.

След като извърши цялостна преценка на всички събрани по делото доказателства, съдът приема за установено следното от фактическа страна:

Между страните по делото не се спори, че между жалбоподателя Б. и „СИТИ КЕШ“ ООД е имало и има сключени договори за паричен заем и в тази връзка личните му данни се съхраняват и обработват от ответното дружество.

На 30.05.2025 г. оспорващият изпратил чрез адвокат П. С. П. до „Сити Кеш“ ООД заявление, като връчването било извършено чрез Система за сигурно електронно връчване (ССЕВ) и било доставено на дружеството на 02.06.2025 в 10:12:08 часа. С депозираното пред „Сити Кеш“ ООД заявление на основание чл. 15 и чл. 20 от Регламент (ЕС) 679 от 2016 г. на Европейския парламент и на Съвета и във връзка със сключени договори за потребителски кредит жалбоподателят изискал от администратора на лични данни потвърждение за обработваните от него лични данни по смисъла на чл. 15, § 1 от Регламента, както и копие на личните данни, които са в процес на обработване по смисъла на чл. 15, § 3 от същия регламент. Тъй като в обема на обработваните от администратора лични данни се съдържала информация за извършените плащания по сключените договори за потребителски кредити, със заявлението било поискано да бъдат предоставени и свързаните с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили за погасяване на задълженията по съответния договор, както и за погасяването на кои компоненти от договора са използвани от кредитора заплатените суми (в това число главница, лихви, такси, неустойки и други). Със заявлението било направено и искане за предоставяне на копие от посочените договори за потребителски кредити, тъй като същите били носители на лични данни.

Отговор по така депозираното заявление постъпил на посочената от заявителя електронна поща на 27.06.2025 г. Видно от съдържанието на писмото, на жалбоподателя е предоставена информация относно личните данни, които се обработват, а именно - целите на обработването, съответните категории лични данни, получателите, пред които те са или ще бъдат разкрити, както и предвиденият срок на съхранението им. Относно поисканите от Б. копия от сключените договори с ответното дружество, както и искането за предоставяне на свързаните с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили за погасявания по договорите, съответно - за погасяването на кои компоненти от договорите са използвани заплатените суми (в т. ч. главница, лихви, такси, неустойки и други), в писмото е формиран изричен отказ за предоставянето им с позоваване на чл. 20 от Регламента. Посочено е, че съгласно чл. 15, § 3 от Регламент (ЕС) 2016/679 администраторът е задължен да предостави копие от личните данни, които се обработват, а не пълно копие от документи, в които те евентуално се съдържат. Сочи се още в отговора по заявлението, че в решение по дело С-487/21 Съдът на ЕС е направено разграничение между предоставени от субекта данни (например, идентификационни данни, данни от подадени заявления, сключени договори) и наблюдавани или генерирани данни (като история на плащания, използване на услуги, вътрешна счетоводна информация, профилиране), които не попадат в обхвата на чл. 20 от регламента. Изведен е извод, че поисканите от жалбоподателя данни - копие на договор, разпределение на извършени плащания по пера (главница, лихви, такси и др.), се създават от администратора въз основа на вътрешна логика и не са предоставени от субекта, както и че данни, получени чрез трети страни (платежни институции) или въведени служебно от администратора, не попадат в обхвата на чл. 20 от Регламента. Посочено е в отказа, обективиран в писмото от 27.06.2025 г., че с чл. 20 е въведено изискване за формат - данните да се предоставят в машинночетим формат (например, CSV, XML, JSON), което изключва сканирани документи, PDF извлечения, хартия или снимки. Според администратора на лични данни предоставяне на информация като копие на договор, погасителен план или извлечение по сметка не съответства на съдържанието на чл. 20, тъй като тези документи не съдържат само данни, предоставени от субекта; заявено право по чл. 20 от Регламента не обхваща копие на договор, разпределението на плащанията по отделни пера от задължението; не включва данни, които не са предоставени от субекта (например, съобщения от платежен оператор или разпределения, направени от администратора); това право се упражнява само спрямо данни, предоставени лично от субекта, автоматизирано обработвани и налични в машинночетим формат. По тези съображения администраторът приел, че искане за предоставяне на носителите на договори и справка за плащания е несъвместимо със заявеното право на преносимост по чл. 20 от Регламента, поради което и искането е отхвърлено като неоснователно.

Така обективираният в отговора по заявлението отказ, изпратен на посочената от Б. електронна поща на 27.06.2025 г., е предмет на жалбата, въз основа на която е образувано настоящото съдебно производство.

При горната фактическа установеност съдът формира следните правни изводи:

Жалбата е подадена в срок и е допустима. Разгледана по същество, тя се преценя и като ОСНОВАТЕЛНА. Съображенията за това са следните:

Предмет на съдебен контрол е изричния отказ на „Сити Кеш“ ООД да предостави на Б. С. Б. от [населено място] поисканите от него със заявление от 30.05.2025 г. копия на сключените между страните договори за кредит, съдържащи лични данни, ведно с информация за извършените във връзка с договорите плащания.

Съгласно чл. 16, § 1 от Договора за функционирането на Европейския съюз (ДФЕС) всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право съгласно чл. 8, § 1 от Хартата на основните права на Европейския съюз. С цел защита на това право е приет Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Последният, видно от чл. 99, е задължителен в своята цялост и се прилага пряко във всички държави членки, считано от 25.05.2018 г. С оглед на горното, приложимо е правото на ЕС. Доколкото процесните обществени отношения не са уредени от самия Регламент, приложим материален закон е и Закона за защита на личните данни (ЗЗЛД), а доколкото правото на ЕС не съдържа нарочни процесуални правила, приложимо е националното процесуално право, като съобразно чл. 39, ал. 1 от ЗЗЛД, приложимият процесуален закон е АПК.

ЗЗЛД предвижда на национално ниво защита на субекта на данни при нарушаване на правата му по ОРЗД и по ЗЗЛД чрез сезиране на КЗЛД или чрез сезиране на съда с жалба срещу действията или актовете на администратора на лични данни, която се разглежда по реда на АПК. Няма изискване субектът на данни да защити правата си по съдебен ред след като изчерпи възможността за това по административен ред. Единственото изискване, видно от чл. 39, ал. 4 на ЗЗЛД е да няма висящо производство пред КЗЛД, образувано по жалба на същия субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. В настоящия казус, видно от извършената справка, пред КЗЛД няма висящо производство, нито има постановено решение по процесния казус.

Процесният отказ на администратора на лични данни „СИТИ КЕШ“ ООД е обективиран в Писмо от 27.06.2025 г. на П. Л. - длъжностно лице ЗЛД в „СИТИ КЕШ“ ООД, изпратено до Б. на посочения от него електронен адрес. Писмото има характер на електронен документ по смисъла на чл. 3 от Закона за електронния документ и електронните удостоверителни услуги, подписано е с валиден квалифициран електронен подпис (КЕП) от длъжностното лице по защита на личните данни и съдържа електронно изявление по смисъла на чл. 2 от ЗЗЛД, за какъвто начин на комуникация между субект и администратор на лични данни не съществува пречка съобразно приложимите норми на Регламент (ЕС) 2016/679. (в този смисъл Решение № 9549 от 09.10.2025 г. по адм. дело № 5079/2025 г. и Решение № 9077 от 02.10.2025 г. по адм. дело № 6950/2025 на ВАС). Ето защо настоящият съдебен състав приема, че процесният отказ, обективиран в писмото от 27.06.2025 г., е постановен от лице с представителна власт за администратора.

Според регламентацията на чл. 4, § 1 от Регламент 2016/679 „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. По силата на чл. 4, § 2 от Регламента „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 - чл. 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. В чл. 15 от Регламент 2016/679 е регламентирано правото на достъп на субекта на данните, като в § 1 е посочено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. От своя страна чл. 15, § 3 от Регламент (ЕС) 2016/679 задължава администратора да предостави копие от личните данни, които са в процес на обработване.

В конкретния случай отправената от оспорващия писмена молба до администратора на лични данни – ответното дружество несъмнено има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в от ЗЗЛД. Същата е подадена във връзка с упражняване на правата по чл. 15 от Регламент (ЕС) 2016/679 и предвид цитираните по-горе разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта така, както предвижда чл. 15, § 3 от Регламент (ЕС) 2016/679. Действително, копието на лични данни не би следвало да се отъждествява с копие от документи, в каквато насока е било и отправеното от Б. искане, но следва да се отчете, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от правото на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни, а именно - сключени договори за потребителски кредит. В подкрепа на това са и разпоредбите на чл. 12 от Регламент (ЕС) 2016/679, чийто § 1 повелява, че администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца; информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства; ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. С чл. 12, § 2 от Регламент (ЕС) 2016/679 е вменено задължение на администратора на лични данни да съдейства за упражняването на правата на субекта на данните по членове 15-22.

В конкретния случай с оглед възникналите между оспорващия и дружеството-ответник взаимоотношения с издаване на оспорения отказ физическото лице е било лишено и от правата, които му предоставя чл. 14 от Регламент (ЕС) 2016/679, и по-конкретно това по § 1, б. „в“ - правото да се получи информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. Така субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. От друга страна, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения, т. е. не може да бъде отказан достъп до обработвани негови лични данни, когато са надлежно поискани по реда на чл. 37б и чл. 37в ЗЗЛД, какъвто е и настоящият случай - администраторът на личните данни е бил задължен да предостави поисканите от Б. копия от договорите за заем съгласно Регламент (ЕС) 2016/679 и ЗЗЛД. Разпоредбата на чл. 15, § 3 от Регламент (ЕС) 2016/679 е ясна и недвусмислена - администраторът предоставя копие от личните данни, които са в процес на обработване. Следователно, искането за получаване на информация за основанията, на които се обработват личните данни и предоставяне на копие като точна реплика на личните му данни трябва да се разбира в широк смисъл. Тук следва да се посочи и Решение на СЕС от 4 май 2023 г. по дело С-487/2021 г., в което е прието, че администраторът на лични данни не се освобождава от ангажимент да предостави копие на сключените договори между страните. В решението си Съдът на ЕС приема, че чл. 15, § 3, първо изречение от Регламент (ЕС) 2016/67 трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни; това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. Според посоченото решение на СЕС чл. 15, § 3, трето изречение на Регламент (ЕС) 2016/679 трябва да се тълкува и в смисъл, че съдържащото се в него понятие „информация“ се отнася изключително до личните данни, копие от които администраторът трябва да предостави съгласно първото изречение от този параграф. В съответствие с решението на СЕС следва да се приеме, че с оглед принципите на прозрачност и отчетност, е необходимо администраторът на лични данни да предостави копие на документите, носители на лични данни на заявителя в тяхната цялост, за да има възможност ефективно да упражни правата си и да провери дали свързаните с него данни са точни и се обработват законосъобразно (в този смисъл решения по адм. д. № 1699/2025 г., по адм. дело № 4355/2025 г., по адм. дело № 1911/2025 г. - всички на ВАС). Това изискване в настоящия случай не е спазено.

Следва са се посочи също, че не са налице законовите предпоставки за отказ от предоставянето на личните данни. Основанията за отказ са изброени в чл. 37а, ал. 1 от ЗЗЛД, като съобразно тази законова разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от ОРЗД, както и да не изпълни задължението си по чл. 34 от Регламента, когато упражняването на правата или изпълнението на задължението би създало риск за националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване за престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. Нито едно от тези основания не е налице в настоящия казус.

По изложените съображения оспореният изричен отказ за предоставяне на изисканите от оспорващия копия на документи – копие от сключени между страните договори за потребителски кредит, ведно с информация за извършените във връзка с договорите плащания, се явява незаконосъобразен като издаден в противоречие с материалноправните разпоредби – отменително основание по чл. 146, т. 4 от АПК. Поради това същият следва да бъде отменен, а преписката следва да бъде върната на ответника за ново произнасяне по заявлението на жалбоподателя в седемдневен срок от влизане в сила на настоящото решение съобразно дадените в него указания по тълкуването и прилагането на закона.

При този изход на спора на жалбоподателя следва да бъдат присъдени и направените по делото разноски, които възлизат на 10 лева, съставляващи държавна такса за образуване на делото, а на адвокат П., който е осъществил процесуално представителство на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата, следва да бъде присъдено възнаграждение в минималния размер от 900 лева, предвиден в чл. 8, ал. 2, т. 10 от Наредба № 1 от 09.07.2004 г. за възнаграждения за адвокатска работа.

 

 

Водим от горното, съдът

 

Р Е Ш И :

 

 

 

ОТМЕНЯ по жалба на Б. С. Б. отказа на „СИТИ КЕШ“ ООД да му бъдат предоставени копия от сключените договори за кредит, както и да му бъде предоставена информация за извършените във връзка с договорите плащания, обективиран в писмо от 27.06.2025 г., и ВРЪЩА преписката на „СИТИ КЕШ“ ООД за ново произнасяне по искането на Б. С. Б. от 30.05.2025 г. в тази част, при съобразяване с дадените в настоящото решение указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ на СИТИ КЕШ“ ООД седемдневен срок за произнасяне, считано от влизане на настоящото решение в сила.

ОСЪЖДА „СИТИ КЕШ“ ООД, [ЕИК], [населено място], *, [улица], *, представлявано от Н. П. П., да заплати на Б. С. Б. от [населено място], [улица], *, сумата от 10 (десет) лева за направените по делото разноски, съставляващи внесена държавна такса.

 

ОСЪЖДА „СИТИ КЕШ“ ООД, [ЕИК], [населено място], *, [улица], *, представлявано от Н. П. П., да заплати на адвокат П. С. П. от * сумата от 900 (деветстотин) лева за осъществената на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата правна помощ и съдействие по настоящото дело.

 

Решението ПОДЛЕЖИ на касационно обжалване пред Върховния административен съд на Република България в 14–дневен срок от съобщаването му на страните.