Решение по адм. дело №1586/2025 на Административен съд - Пловдив

Производството по делото е образувано е по жалба на Ц. П. Я. - С., [ЕГН], с адрес: [населено място], [улица], чрез адвокат Н., против изричен отказ на дружеството „СИТИ КЕШ“ ООД изх. № 000241 от 15.07.2025г. да предостави информация за обработваните лични данни на Я.- С., ведно с копие на носителите на тези лични данни – договори за кредит, в които се съдържат лични данни на лицето.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Изложени са аргументи, че с отказа се възпрепятства правото на оспорващия да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Иска се присъждане на сторените в съдебното производство разноски, съгласно списък с разноските на л. 41.

Ответникът – „СИТИ КЕШ“ ООД, чрез процесуалния си представител юрисконсулт Б., в нарочен отговор /л. 17 – 20/ изразява становище за неоснователност на жалбата. При позоваване на разпоредби от Регламент /ЕС/ 2016/679 /ОРЗД/ и съдебна практика излага твърдения, че правото на достъп до лични данни не включва правото да се получат копия от документи и за дружеството не възниква задължение да представя поисканата в тази част на искането информация. Претендира се присъждане на разноски по делото – юрисконсултско възнаграждение в размер на 300лв.

Съдът намира за установено от фактическа страна следното:

Жалбата е процесуално ДОПУСТИМА, като подадена от лице, чиято правна сфера е засегната неблагоприятно от оспорения отказ, депозирана е в срока по чл. 149, ал. 1 АПК и по отношение на подлежащ на обжалване акт.

Разгледана по същество, същата е ОСНОВАТЕЛНА по следните съображения:

На 16.06.2025г. жалбоподателката Я.– С. е отправила искане на основание чл. 15 и чл. 20 от Регламент ЕС 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО за предоставяне копие от всички документи, в които се съдържат лични данни на искателя. Искането е получено от ответното дружество на 17.06.2025г. и на 15.07.2025г. е постановен процесният изричен отказ за предоставяне на лични данни – договори за паричен заем в периода от 01.01.2018г. до 01.01.2023г., сключени между жалбоподателката Я.– С. и ответника „Сити кеш“ ООД.

Във връзка с така получения отговор, е подадена жалба, по повод на която е образувано настоящото съдебно производство, в която е оспорен отказ за предоставяне на копия от всички договори за кредит, сключени между Я.– С. и дружеството „Сити кеш“ ООД.

По делото е постъпил отговор на ответника по жалбата, в който е посочено, че „СИТИ КЕШ“ ООД няма задължение за предоставяне на копия от документи, съдържащи лични данни. Представена е непроменена извадка от договор за потребителски кредит, по който г-жа Я.– С. е страна и в който се съдържат следните лични данни: три имена, ЕГН, номер на лична карта, постоянен и настоящ адрес.

В хода на съдебното производство не са представени други доказателства от страните.

Въз основа на така приетата фактическа обстановка, съдът приема следното от правна страна:

Съгласно чл. 4, т. 2 от Регламент ЕС 2016/679 „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване, а според чл. 4, т. 1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

По настоящото производство между страните не се спори по обстоятелството, че жалбоподателката е отправила искане до „СИТИ КЕШ“ ООД с предмет право на достъп до обработваните лични данни, включително във връзка със сключени между тях договори за кредит. Не е спорно и обстоятелството, че ответното дружество притежава качеството „администратор“ на лични данни по чл. 4, т. 7 от Регламент ЕС 2016/679 - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Според публично достъпните данни, отразени в Регистъра на финансовите институции по чл. 3а от Закона за кредитните институции /ЗКИ/, дейността на „СИТИ КЕШ“ ООД включва отпускане на кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства. Дружеството извършва дейност на територията на Република България, която е насочена към широк кръг потребители, и в следствие на тази дейност създава, съхранява и обработва данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 ЗКИ, които са лични данни по смисъла на чл. 4, т. 1 ОРЗД. Договорът за кредит безспорно съдържа лични данни по смисъла на същата разпоредба от Регламента.

Спор не се формира и по факта, че между страните по настоящото производство съществуват облигационни отношения, произтичащи от сключени между страните договори за кредит, копия от които не са представени по делото. Следва да се отчете, обаче, че договорът за кредит, по своята правна природа, безспорно съдържа лични данни по смисъла на чл. 4, т. 1 от Регламент ЕС 2016/679.

Страните не спорят по факта, че освен информацията за обработваните лични данни, в искането е било заявено и изрично желание на жалбоподателката Я.– С. за получаване копия на документи, които съдържат нейни лични данни – договори за кредит.

Съгласно чл. 37б, ал. 1 от ЗЗЛД субектът на данни упражнява правата по чл. 15 - 22 от Регламент ЕС 2016/679 чрез писмено заявление до администратора на лични данни или по друг, определен от администратора начин. Чл. 15 от Регламента е озаглавен „Право на достъп на субекта на данните“, а в § 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните…“. В тази връзка неоснователно е възражението на ответника, че искането, отправено от жалбоподателя, не попада в обхвата на ОРЗД и ЗЗЛД. В допълнение следва да се посочи и следното: Според чл. 16, § 1 ДФЕС всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право и съгласно Хартата на основните права на Европейския съюз /ХОПЕС/. С цел защита на това право е приет именно Регламент ЕС 2016/679. Същият ОРЗД, съгласно чл. 99, е задължителен в своята цялост и се прилага пряко във всички държави членки. Освен Регламента, приложим национален материален закон се явява и ЗЗЛД, доколкото тези обществени отношения не са уредени от самия Регламент /чл. 1 от ЗЗЛД/.

Искането, отправено от жалбоподателката Я.– С. до администратора на лични данни - „СИТИ КЕШ“ ООД и получено от него на 17.06.2025г., несъмнено има характера на заявление по чл. 37б , ал. 1 от ЗЗЛД, което съдържа предвидените от закона реквизити по чл. 37в, ал. 1 от ЗЗЛД. От това следва несъмнен извод, че администраторът на лични данни е бил надлежно сезиран със заявлението по чл. 37б, ал. 2 вр. ал. 1 от ЗЗЛД.

Както се установи по делото, отправеното от жалбоподателката искане е във връзка с упражняване на правата по чл. 15 от ОРЗД. Съгласно § 3 на чл. 15 от Регламента администраторът е длъжен да предостави копие от личните данни на субекта.

На основание чл. 12, § 3 от Регламента администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по чл. 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. В случай на удължаване на срока, администраторът е длъжен на информира изрично субекта на данни за това. Правната норма на чл. 12, § 4 ОРЗД регламентира, че ако администраторът не предприеме действия по искането на субекта на данни, той следва да уведоми субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред.

Следователно, в едномесечен срок от искането, администраторът на лични данни е длъжен да се произнесе по заявлението изрично, което е сторено от ответника по делото, при това дори когато не предприеме действия по него /предоставяне на копия на исканите документи/. Съгласно съдържанието на отговора от 15.07.2025г., искането на г-жа Я.– С. не е удовлетворено в пълнота от „КЕШ КРЕДИТ“ ООД, тъй като на искателя не са предоставени поисканите документи, съдържащи нейни лични данни – договори за кредит. Видно от събраните по делото доказателства, включително отговорът на жалбата, ответникът не е проявил процесуална активност и не е ангажирал доказателства, с които да опровергава своето бездействие. Точно обратното, в постановения изричен отказ и в отговора на жалбата е направено изрично изявление, че за дружеството не съществува задължение за предоставяне на копия от документи, съдържащи лични данни. Обратно на поддържаната от ответника защитна теза, нормата на чл. 12, § 1 ОРЗД създава задължение за администраторите на лични данни, при липса на основания за отказ от предоставяне на информация във връзка с чл. 37а от ЗЗЛД, вр. чл. 23 от ОРЗД, да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и се обработват в съответствие с ОРЗД, което гарантира възможността му да упражни впоследствие и други права, защитени от ОРЗД. В този смисъл са Решение № 14729/27.11.2020г. по адм. д. № 9910/2020 г. на ВАС, Решение № 7101/28.06.2023г. на ВАС по адм. д. № 1825/2023 г. на ВАС и др.

Администраторът в конкретния случай е бил длъжен да предостави на жалбоподателя копие от поисканите документи, съдържащи личните данни на субекта. Правото да се предостави копие на лични данни по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679 не е тъждествено на правото да се предостави копие на документите, носители на тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни. Съгласно обаче приетото в Решение на СЕС от 4.05.2023г. по дело C-487/21 това право предполага и правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, в т.ч. и да извърши проверка за спазване на принципа за законосъобразна обработка на данните. Разпоредбите на Регламент ЕС 2016/679, предоставящи права на субекта на данни, които последният може да упражни, произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва, като в случая обработването е започнало по повод възникнали правоотношения между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент ЕС 2016/679. Чл. 6, § 1, б. „б“ от ОРЗД посочва, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто именно е разглежданият случай. Жалбоподателката изрично е поискала да й бъдат предоставени копия от документи – договори за кредит, съдържащи нейни лични данни. Тъй като личните данни се обработват включително за целите на сключените между страните договори за кредит, съдът приема, че предоставянето на същите е било задължително, за да може лицето ефективно да упражни правата си по ОРЗД, т.е. администраторът при поискване е дължал предоставяне на копия от документите.

Без правно значение е обстоятелството, дали на жалбоподателката е било предоставено копие от договорите за кредит към момента на сключването им с дружеството, защото като страна по тези договори, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и ОРЗД във връзка с тези правоотношения. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на основните принципи, застъпени чл. 5 на Регламент ЕС 2016/679 – „(„законосъобразност, добросъвестност и прозрачност")“. С непредставянето на копия от посочените документи лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламента. Това води до лишаване и от „правото на защита на личните данни“, което му се предоставя и с чл. 8, § 1 от ХОПЕС, като е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, както и до възпрепятстване жалбоподателят да се възползва от правото му по чл. 8, § 2 от Хартата да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. В горния смисъл е и съдебната практика на ВАС по дела със сходен предмет – Решение № 1159/11.02.2025г. по адм. д. № 9474/2024 г., Решение № 7101/28.06.2023г. по адм. д. № 1825/2023 г., Решение № 2763/18.03.2025г. по адм. д № 11251/2024 г.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че оспореният отказ е издаден в противоречие с материалноправните и процесуалноправните разпоредби и целта на закона, поради което същият следва да бъде отменен.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителните указания по тълкуването и прилагането на закона.

Предвид изхода на делото на жалбоподателя следва да се присъдят сторените съдебни разноски, които се доказват в размер на 10 лева, заплатени за държавна такса по производството.

Основателна се явява и претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита. Според Закона за адвокатурата, в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати.

Съгласно чл. 8, ал. 2, т. 10 от Наредба № 1 от 9.07.2004г. за процесуално представителство, защита и съдействие по административни дела без определен материален интерес минималното възнаграждение е в размер на 900лв. без ДДС по дела по ЗЗЛД. По делото е представен списък с разноските /л. 7 гръб/, в който е посочена сума на адвокатско възнаграждение в размер на 1 000лв., което възнаграждение не се явява прекомерно.

Воден от горното, Съдът

Р Е Ш И:

 

ОТМЕНЯ по жалба на Ц. П. Я. - С., [ЕГН], с адрес: [населено място], [улица], изричен отказ на дружеството „СИТИ КЕШ“ ООД изх. № 000241 от 15.07.2025г. да предостави информация за обработваните лични данни на Я.- С., ведно с копие на носителите на тези лични данни – договори за кредит, в които се съдържат лични данни на лицето.

ЗАДЪЛЖАВА „СИТИ КЕШ“ ООД, [ЕИК] да предостави на Ц. П. Я. - С., [ЕГН], с адрес: [населено място], [улица], документи: договори за кредит, носители на нейните лични данни, в 1-месечен срок от влизане в сила на съдебното решение.

ОСЪЖДА „СИТИ КЕШ“ ООД, [ЕИК], със седалище и адрес на управление в [населено място] да заплати на Ц. П. Я. - С., [ЕГН], с адрес: [населено място], ул. „Димитър Талев“ № 59 сумата от 10 /десет/ лева, представляваща съдебни разноски.

ОСЪЖДА „СИТИ КЕШ“ ООД, [ЕИК], със седалище и адрес на управление в [населено място] да заплати на адвокат С. Н., Адвокатска колегия – [населено място], със съдебен адрес: [населено място], **, партер, сумата от 1 000 /хиляда/ лева, представляваща адвокатско възнаграждение.

Решението подлежи на обжалване пред Върховния административен съд в 14 - дневен срок от съобщаването му на страните.