Решение по дело №1106/2024 на Административен съд - Пазарджик

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), вр. чл. 39, ал.1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба на С. М. Д., чрез пълномощника - адв. П., срещу отказ на „Мъни Лийз“ ЕАД – гр. София за упражняване правата по чл.15 и чл. 20 от Регламент /ЕС/ 679/2019 на Европейския парламент и на Съвета, по заявление от 19.09.2024г., получено чрез ССЕВ на същата дата, обективиран в писмо от 24.09.2024г. на изп. директор на „Мъни Лийз“ ЕАД.

В жалбата се навеждат доводи за незаконосъобразност на оспорения административен акт. Твърди се, че същият е издаден в нарушение на материалния закон и при съществено нарушение на административнопроизводствените правила, както и в несъответствие с целта на закона. Допълнителни съображения излага в представени писмени бележки. Прави се искане за отмяна на оспорения отказ, претендира разноски, съгласно представен списък.

Ответникът – „Мъни Лийз“ ЕАД – гр. София - администратор на лични данни, представляван от изп. директор, не изпраща процесуален представител, и не взима становище по жалбата.

Съдът, след като обсъди релевираните с жалбата и представените писмени становища основания, доводите на страните в съдебно заседание, прецени събраните по делото доказателства и служебно, на основание чл. 168, ал. 1 , вр. чл. 146 от АПК, провери изцяло законосъобразността на обжалвания акт, намира за установено следното от фактическа страна:

На 05.09.2024 г. жалб. Д., чрез пълномощника си – адв. П. изпратила чрез ССЕВ с КЕП заявление до „Мъни Лийз“ ЕАД - гр. София, с искане за предоставяне на лични данни във връзка със сключените между нея и дружеството договори за паричен заем № № 10182133 и 10190567, като се позовала на чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на ЕП и на Съвета от 27 април 2016 г., и бъдат предоставени свързаните с направените плащания лични данни, от които да е видно какви суми, в какъв размер и на кои дати са постъпили за погашения по сключените договори, както и за погашения на кои компоненти от тези договори са използвани от кредитора заплатените суми (в т.ч. главница, лихви, такси, неустойки и др.), както и да й бъдат представени копия от договорите. Заявлението било получено от дружеството - администратор на лични данни на 19.09.2024г.

С писмо изх. № 34/24.09.2024г. „Мъни Лийз“ ЕАД информирали жалбоподателката, че към тази дата няма активен кредит, поради която причина не обработват нейни лични данни; имала е 2 договора за кредит, сключени на място в офис на дружеството в гр. Пазарджик; кредит № 10182133 е сключен на 16.06.2023г. за сумата от 250 лева, приключен на 01.11.2023г.; кредит № 10190567 е сключен на 01.11.2023г. за сумата от 1500 лева, приключен предсрочно на 26.06.2024г.

С писмо вх. № 10174/25.11.2024г. ответника е изпратил в съда копие от приключените и намиращи се в архив кредитни досиета: молби за оценка на кредитоспособност, декларации-съгласие за обработка на лични данни, индивидуални договори за заем, приложение №1 и погасителен план, договори за предоставяне на допълнителни услуги, копие на лична карта, разписки за получени суми в брой, копия на застраховка „Злополука и заболяване на кредитополучателя“ ведно със снимков материал на извършените плащания от програмния продукт на дружеството, по отношение на кредити № 10182133 и № 10190567.

Видно от писмо вх. № 10529/04.12.2024г., след направена служебна справка не е установено наличието на висящо или неприключило производство пред КЗЛД, инициирано от жалб. Д. срещу „Мъни Лийз“ ЕАД.

Жалбата е подадена до териториално компетентния административен съд от надлежна страна - адресат на атакувания административен акт, с който се вменява правно задължение и поради тази причина съществува пряк, личен и непосредствен правен интерес за подателя на оспорването от провеждане на съдебна проверка за законосъобразност, поради което подадената жалба е ПРОЦЕСУАЛНО ДОПУСТИМА, а разгледана по същество е ОСНОВАТЕЛНА, поради следните съображения:

Съгласно изискванията на чл. 168, ал. 1 от АПК, при служебния и цялостен съдебен контрол за законосъобразност, съдът извършва пълна проверка на обжалвания административен акт относно валидността му, спазването на процесуалноправните и материалноправните разпоредби по издаването му и съобразен ли е с целта, която преследва законът, т. е. на всички основания, визирани в чл. 146 от АПК. При преценката си, съдът изхожда от правните и фактическите основания, посочени в оспорвания индивидуален административен акт, представената административна преписка и събраните по делото доказателства.

Съгласно разпоредбата на чл. 39 ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК.

Няма спор между страните, че между жалб. Д. и „Мъни Лийз“ ЕАД - гр. София са налице облигационни отношения, възникнали по силата на сключени договори за парични заеми, като оспорващият е субект, чийто лични данни са обработвани от ответника, съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679).

Търговското дружество „Мъни Лийз“ ЕАД – гр. София попада в хипотезата на определението по чл. 4 т. 7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Следователно, за дружеството, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателката искане, като с оглед разпоредбата на чл. 12 пар. 3 от Регламент 2016/679, информация относно действията, предприети във връзка с искане по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. В конкретната хипотеза ответника е изпратил уведомление до жалб. Д. на 24.09.2024г. по подаденото заявление, но същото не дава отговор на поставените в същото въпроси, не са предоставени и копия от поисканите договори за сключени парични заеми.

Съгласно разпоредбата на чл. 4 пар. 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“. Според чл. 4 пар. 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В нормата на чл. 37б, ал. 1 от ЗЗЛД е предвидено, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Член 15 от Регламент (ЕС) 2016/679 предвижда „право на достъп на субекта на данните“, като според параграф 1, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Съгласно чл. 15 пар. 3 от Регламент 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

В конкретната хипотеза жалбоподателката е депозирала по електронен път писмено заявление по чл. 37б от ЗЗЛД до администратор на лични данни, какъвто безспорно е „Мъни Лийз“ ЕАД, по административен ред. Съгласно чл. 37б ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като съобразно ал. 2, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В чл. 37б, ал. 3 от ЗЗЛД е предвидено, че заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Подаденото заявление съдържа нормативно изискуемата форма за реквизити и съдържание и е съобразено с изискванията на чл. 37в от ЗЗЛД. Съгласно чл. 37в ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, а според чл. 37в ал. 2 от ЗЗЛД, при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното, което е сторено.

Тъй като по делото не е спорно, че жалб. Д. се явява субект на данни по смисъла на закона, който извод формално се извлича от съществуващо между нея и ответното дружество облигационно правоотношение, обективирано в сключени договори за парични заеми, при наличието на надлежно сезиране с подадено заявление от легитимирано лице, за „Мъни Лийз“ ЕАД като администратор на лични данни е възникнало нормативно установеното задължение да се произнесе, съгласно разпоредбата на чл. 12 пар. 3 от Регламент 2016/679.

В съответствие с чл. 12 пар. 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Пар. 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15—22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15—22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. Пар. 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Съгласно пар. 4 от същата норма на Регламента, ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Според разпоредбата на чл. 15 пар. 1 от Регламент 2016/687, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

В Регламента и ЗЗЛД е нормирано задължение на администратора на личните данни, когато лични данни от такъв характер са надлежно поискани по реда на чл. 37б и чл. 37в от ЗЗЛД, да бъдат предоставени. В процесния случай не са налице предпоставките за отказ от предоставяне, конкретно посочени в чл. 37а ал. 1 от ЗЗЛД, съгласно която норма, администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от Регламент (ЕС) 2016/679, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. В случая ответното дружество, като администратор на лични данни е било сезирано с конкретни искания, по които дължи произнасяне, като по делото не са налице данни да е предоставил исканата детайлна информация, както и копия на сключените договори за парични заеми. След като подаденото заявление за достъп до лични данни по чл. 15 от ЗЗЛД отговаря на изискванията на чл. 37б и чл. 37в от ЗЗЛД - а именно писмено заявление, адресирано е до задължено лице - администратор на лични данни, то получаването на заявлението поражда задължение за сезирания администратор на данни по чл. 12 пар. 3 от Регламента да предостави на субекта на данните информация относно действията, предприети във връзка с искане по чл. 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Безспорно е в случая, че не са налице данни за изпълнение на горното изискване, както и на изискването по чл. 12 пар. 1 от Регламента, според който администраторът предприема необходимите мерки за предоставяне на всякаква информация по чл. 13 и 14 и на всякаква комуникация по чл. 15 -22 и чл. 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Информацията се предоставя писмено или по друг начин, включително когато е целесъобразно, с електронни средства.

Според чл. 15 пар. 1 от ОРЗД, всеки субект има право да поиска достъп до данните и информацията, отнасящи се до него. В съответствие с чл. 20 ал. 1 от Регламента, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени. Отказът заявителя да получи достъп до данни по реда на чл. 15 и чл. 20 от ОРЗД е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5 пар. 1, б. „а“ от Регламент (ЕС) 2016/687. По силата на чл. 12 пар. 1 от ОРЗД администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и се обработват в съответствие с ОРЗД, което гарантира възможността му да упражни впоследствие и други права, защитени от ОРЗД / така и Решение № 7101/28.06.2023 г., постановено по адм.д. № 1825/2023 г. по описа на Върховен административен съд / .

По изложените съображения жалбата се явява основателна, мълчаливият отказ на „Мъни Лийз“ ЕАД, в качеството му на администратор на лични данни да предостави достъп до лични данни по подаденото от жалбоподателката заявление следва да бъде отменен като незаконосъобразен и преписката се върне на администратора на лични данни за произнасяне по заявлението, при съобразяване с дадените указания по тълкуването и прилагането на закона.

С оглед изхода на спора, и на основание чл. 143 от АПК и чл. 38, ал.1, т.2 от Закона за адвокатурата на адв. П. се дължат разноски за процесуално представителство, посочени в представения списък по чл. 80 от ГПК. Съгласно решение от 23.11.2017 г. по съединени дела C - 427/16 и C -428/16 на СЕС, Първи състав, съдът следва да прецени дали минималният размер на адвокатското възнаграждение по Наредбата отговаря на тези цели и критерии: фактическа и правна сложност на спора, достъп до правосъдие, качество на услугата, справедливост и необходимост загубилата страна да понесе поне значителна част от разноските на противната страна, направени за защита по делото. Преюдициалното заключение на СЕС се ползва с тълкувателна сила, която е задължителна и обвързва националния съд, отправил запитването. В решение на Съда на ЕС от 25 януари 2024 г. по дело C-438/22 по преюдициално запитване, отправено от Софийски районен съд, е прието, че чл. 101, чл. 1 ДФЕС във връзка с чл. 4, § 3 ДЕС следва да се тълкува в смисъл, че ако се установи, че наредба, която определя минималните размери на адвокатските възнаграждения и на която е придаден задължителен характер с национална правна уредба, противоречи на посочените разпоредби, националният съд е длъжен да откаже да я приложи. Посочените в наредбата размери на адвокатските възнаграждения могат да служат единствено като ориентир при определяне служебно на възнагражденията, но без да са обвързващи за съда. Следователно същите подлежат на преценка от съда с оглед вида на правния спор и съществуващия материален или нематериален интерес, видът и количеството на извършената работа и преди всичко фактическата и правна сложност на делото. Доколкото спорът не е такъв с фактическа и правна сложност, делото е еднотипно с множество образувани и решени в съда спорове с идентичен предмет, проведено е едно съдебно заседание, без участието на адв. П., липсва процесуална активност по отношение събирането на доказателства, то на сочените основания в полза на последния следва да се присъдят 500 лева – адвокатско възнаграждение.

По изложените съображения, и на основание чл. 172, ал. 2 от АПК, Административен съд – гр. Пазарджик, ХIII-ти състав

Р Е Ш И:

ОТМЕНЯ мълчалив отказ на „Мъни Лийз“ ЕАД – гр. София, в качеството му на администратор на лични данни за предоставяне на достъп до лични данни по подаденото от С. М. Д. заявление от 05.09.2024 г., като незаконосъобразен.

ВРЪЩА преписката на „Мъни Лийз“ ЕАД – гр. София, за ново произнасяне, съгласно мотивите на настоящото решение.

ОСЪЖДА „Мъни Лийз“ ЕАД – гр. София да заплати на адв. П. С. П. – САК сумата от 500 лева, представляващи разноски за адвокатско възнаграждение.

РЕШЕНИЕТО подлежи на обжалване, в 14-дневен срок от съобщаването му пред Върховния административен съд на Република България.

ПРЕПИСИ да се връчат на страните.