Решение по дело №291/2025 на Административен съд - Сливен

Производството е образувано по жалба от Н. И. Б. с [ЕГН], с постоянен адрес: [населено място], [жк], ***, ***, чрез адв. П. П. от *** срещу изричен отказ от 12.05.2025 г. на „Кредирект“ ЕООД с ЕИК: *********, със седалище и адрес на управление: гр. София, р. М., б. „Ц. ш.“ № ***, ***, представлявано от у. Н. П. П., в качеството му на администратор на лични данни, в частта, в която не е предоставено копие от сключени договори за кредит, носители на лични данни, както и свързаните с направените по договорите плащания. Оспорването намира правното си основание в чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД), като образуваното производство се движи по реда на чл. 145 и сл. от АПК.

В жалбата си жалбоподателят твърди, че отказът е незаконосъобразен, поради съществено нарушение на административнопроизводствените правила, противоречие с материалноправните разпоредби и целта на закона. Излага съображения, че: на 21.11.2024 г. е изпратено от Б. чрез ССЕВ до „Кредирект“ ЕООД заявление, на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, доставено на дружеството на 26.11.2024 г.; със заявлението, във връзка със сключени договори за потребителски кредит, е изискано от администратора потвърждение за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент (ЕС) 2016/679 и копие на личните данни, които са в процес на обработване по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679; в обема на обработваните от администратора лични данни се съдържа информация за извършените плащания по сключените договори за потребителски кредит, като със заявлението е поискано да бъдат предоставени свързаните с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили за погашение на задължения по съответния договор, както и за погашения на кои компоненти от договора са използвани от кредитора заплатените суми /в това число главница, лихви, такси, неустойки и други/; със заявлението е направено искане за предоставяне на копие от договори за потребителски кредити като носители на лични данни. В едномесечния срок дружеството – администратор на лични данни не се произнесло по заявлението изрично, поради което се формирал мълчалив отказ. След обжалване пред Административен съд Сливен, с решение № 681/03.04.2025г. постановено по адм. дело № 61/2025г. на Административен съд Сливен, мълчаливият отказ бил отменен, а преписката – върната със задължителни указания за изрично произнасяне по подаденото заявление. На 12.05.2025 г. бил връчен на посочената в заявлението електронна поща отговор от дружеството, като в отговора се съдържало и потвърждение за обработвани лични данни на жалбоподателя като страна по договор за потребителски кредит с № ******, като същевременно в Приложение № 2 към отговора били предоставени изрезки на част от първата страница на други 5 договора за кредит и липсвали каквито и да са данни по повод първия договор (№ *******). С отговора изрично било отказано предоставянето на копие на договорите за кредит и липсвало каквото и да е произнасяне по предоставянето на свързаните с направените плащания по договорите лични данни. Твърди, че обжалвания в частта му изричен отказ е незаконосъобразен, постановен при съществено нарушение на административнопроизводствените правила, противоречие с материалноправните разпоредби и целта на закона. Счита, че е нарушено правото на достъп на субекта на лични данни, съгласно чл.15 от Регламент /ЕС/ 2016/679 на Европейския парламент и съвета. Моли съда да постанови решение, с което отмени оспорения отказ и върне преписката със задължителни указания за предоставяне на данните. Претендира разноски и адвокатски хонорар.

В открито съдебно заседание жалбоподателят Н. И. Б., редовно и своевременно призован, не се явява и не се представлява. В молба по делото, чрез процесуален представител – адв. П. поддържа жалбата и моли да бъде уважена. Подробни съображения излага в писмени бележки. Претендира разноски по представен списък, както и адвокатско възнаграждение. Прави възражение за прекомерност на претендираното от насрещната страна възнаграждение.

В открито съдебно заседание ответникът „Кредирект“ ЕООД, редовно и своевременно призован, не изпраща представител. В представения с преписката отговор поддържа тезата, че е изпълнил задължението си по чл. 15 от Регламент /ЕС/ 2016/679, като е предоставил копие от обработваните лични данни, включително чрез извадка от сключените договори за кредит със субекта и справка за получените плащания, по кредитите. Смята, че последното не включва предоставянето на копия от документи, носители на лични данни.

След преценка на изложеното в жалбата, като взе предвид доводите на страните и събраните по делото доказателства, съдът направи следните фактически и правни изводи:

Настоящата жалба е допустима, като подадена от активно-легитимирана страна и при наличие на правен интерес. Жалбата е подадена в законоустовения 14-дневен срок, тъй като писмото е получено на 12.05.2025 г. /стр. 49/, а жалбата е подадена на 25.05.2025г., чрез ССЕВ.

По делото се установява, че на 21.11.2024 г., чрез упълномощен представител жалбоподателят Б. е изпратил по електронен път заявление, с което на основание чл. 15 и чл. 20 от Регламент (ЕС) № 679 от 2016 г. на ЕП и на Съвета изискал от „Кредирект“ ЕООД копие на лични данни, които са в процес на обработване по смисъла на чл. 15 пар. 3 от Регламента във връзка със сключените между администратора на лични данни и Б. договори за паричен заем. След отмяна на мълчалив отказ на ответника с решение № 681/03.04.2025г. постановено по адм. дело № 61/2025г. на Административен съд Сливен преписката е върната на органа за произнасяне по заявлението на жалбоподателя. На 12.05.2025 г. до пълномощника на жалбоподателя е изпратен на електронна поща отговор. С отговора е предоставено с Приложение № 1 и Приложение № 2 копие от обработваните лични данни от ответника по сключените договори за потребителски кредит, а именно: име, презиме, фамилия, ЕГН, номер на лична карта, издател, постоянен адрес, настоящ адрес и други данни, посочени в същия. (лист 50-59 от делото). В отговора са посочени целите на обработване, срока и др.. Изрично е посочено, че еднообразен екземпляр от сключения договор за кредит е предоставен надлежно от Кредитора при сключването му, поради което дружеството, намира искането за предоставяне на носител на договор за кредит във връзка със заявено право на достъп, съгласно чл. 15 от Регламент (ЕС) 2016/679, за неоснователно и прекомерно.

От доказателствата се установява, че няма висящо производство със същия предмет и страни пред Комисията за защита на личните данни (писмо изх. № ППН-01-745#1/30.05.2025 г. на Председателя на Комисията за защита на личните данни).

При така установената фактическа обстановка съдът направи следните правни изводи:

Жалбата е допустима, като подадена от лице, чиято правна сфера е засегната неблагоприятно от постановения отказ. Депозирана е в срок. Оспореният отказ е годен предмет на съдебен контрол по смисъла на чл. 39, ал. 1 от ЗЗЛД.

Подадената жалба е основателна, при следните съображения:

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган - Комисията за защита на личните данни (чл. 38, ал. 1 от ЗЗЛД) и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК (чл. 39, ал. 1 от ЗЗЛД).

Ограничителното условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 ЗЗЛД - да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Видно от представеното и прието по делото Писмо с изх. № ППН-01-745#1 от 30.05.2025 г. няма висящо или приключило производство пред Комисията, инициирано от Н. И. Б. срещу „Кредирект“ ЕООД.

Между страните не е спорно, че между жалбоподателя и ответника по жалбата са налице договорни правоотношения, възникнали по силата на сключени между същите договори за кредит, като жалбоподателят е субект, чиито лични данни са обработвани от дружеството – ответник и в това си качество има право на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679.

Ответникът по жалбата „Кредирект“ ЕООД попада в хипотезата на определението по чл. 4, т. 7 от Регламент (ЕС) 2016/679/, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Едно от основните права на субекта на данни е правото му на достъп, закрепено в чл. 15 от Регламент (ЕС) 2016/679 като получаване на потвърждение от администратора дали се обработват лични данни, свързани със субекта и ако отговорът е положителен, да се даде информация относно: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането.

Ответникът не отрича, че с произнасянето си по депозираното заявление е счел искането за предоставяне на носител на договори за кредит за неоснователно. В отговора е формулиран изричен отказ за предоставянето на копие на договор за потребителски кредит № *******. Изложени са съображения, че такова задължение не съществува за администратора на ЛД. В отговора на жалбата се поддържа становище, че искането за предоставяне на носители на документи на хартиен носител (договори за кредит, стандартни европейски формуляри и платежни нареждания) е извън приложното поле на чл. 20 от Регламента.

Следователно спорът се свежда до това попада ли в обхвата на споменатото задължение на администратора на данни предоставянето на субекта на данни на копия от носителите на личните му данни – в случая договори за кредит, както и да бъдат предоставени свързаните с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили за погашение на задължения по съответния договор, както и за погашения на кои компоненти от договора са използвани от кредитора заплатените суми /в това число главница, лихви, такси, неустойки и други/, в каквато насока от жалбоподателя е било отправено изрично искане, по което е налице изричен отказ, предмет на настоящото оспорване.

Подаденото от жалбоподателя заявление е във връзка с упражняване на правата му по чл. 15 - чл. 20 от Регламент (ЕС) 2016/679 и съгласно § 3 на чл. 15 от Регламент (ЕС) 2016/679, администраторът е длъжен да предостави достъп до данните и копие от личните данни на субекта. Съгласно чл. 15, § 1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасяща се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администратора обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на достъп до данни по реда на чл. 15, § 1 от Регламент (ЕС) 2016/679 е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5, § 1, б. „а“ от Регламент 2016/679. С чл. 12, § 1 от Регламент (ЕС) 2016/679 администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и дали се обработват в съответствие с Регламент (ЕС) 2016/679, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламент (ЕС) 2016/679.

Съдът на Европейския съюз (СЕС) е имал повод да тълкува чл. 15, § 3, първо изречение от ОРЗД, който гласи, че администраторът предоставя копие от личните данни, които са в процес на обработване. Изхождайки от принципа на прозрачност, предвиден в чл. 12, § 1 от Регламент 2016/679 СЕС приема в Решението си от 04.05.2023 г. по дело С-487/21, че правото да се получи от администратора копие на лични данни, които са в процес на обработване, изисква на субекта да се предостави точна и разбираема реплика на всички тези данни. Съдът посочва, че това право предполага правото на получаване на копие от извлечения от документи и дори цели документи или извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права. СЕС подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

В чл. 6, § 1, б. "б" от ОРЗД е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай (обработването на лични данни на жалбоподателя е във връзка със сключени договори за кредит). Жалбоподателят изрично е поискал да му бъдат предоставени копия от ДПК - носител на личните му данни, за да извърши проверка на обработваните данни. В случая съдът приема, че предоставянето на същите е било задължително, за да може жалбоподателят ефективно да упражни предоставеното му с Регламента право. Без значение е целта на това искане и дали жалбоподателят съхранява или не своя екземпляр от договора. Това са обстоятелства неотносими към задължението на администратора на личните данни съгласно ОРЗД и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая ответникът изрично е отказал да предостави копия на исканите ДПК.

Съдът счита, че с оглед ефективно упражняване на правата, предоставени му с Регламент /ЕС/ 2016/679, жалбоподателят има право да получи и достъп до обработваните му лични данни, свързани с плащанията по договорите за кредит, а именно в какъв размер и на кои дати са постъпили такива за погашения по сключените договори за кредит, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми /в това число главница, лихви, такси, неустойки и други/, доколкото това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно /поради наличие на договор и в негово изпълнение/ и точно /размер на задължението и срок за изпълнението му/.

Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на ЛД. Същите са конкретно изброени в чл. 37а, ал. 1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от ОРЗД, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

Поради тези съображения жалбата се явява основателна. Оспореният частичен отказ следва да бъде отменен, като незаконосъобразен. Преписката следва да бъде върната на ответника, като администратор на лични данни, за произнасяне по заявлението на жалбоподателя в 7-дневен срок от влизане в сила на настоящото решение, при съобразяване с дадените указания по тълкуването и прилагането на закона в същото.

С оглед изхода на спора и на основание чл. 143, ал. 1 от АПК, претенцията на жалбоподателя за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на жалбоподателя направените от него по делото разноски в размер на 10 лева, представляващи внесена държавна такса. На основание чл. 38, ал. 2 във връзка с чл. 38, ал. 1, т. 2 от ЗА, пълномощникът на жалбоподателя има право на адвокатско възнаграждение, с оглед представените по делото: договор за правна защита и съдействие за оказване на адвокатска помощ безплатно и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на пълномощника на жалбоподателя адвокатско възнаграждение в размер на 900 лева, който размер съответства на действителната фактическа и правна сложност на делото и е пропорционален спрямо извършената правна защита, при приложението на чл. 36, ал. 2 от ЗА и съобразяване на Решение на Съда на Европейския съюз от 25 януари 2024 г. по дело С-438/22.

Воден от горните мотиви, на основание чл. 172, ал. 2 от АПК, във вр. с чл. 173, ал. 2 от АПК Административен съд - Сливен

 

Р Е Ш И:

 

ОТМЕНЯ по жалба на Н. И. Б. с [ЕГН] от [населено място] отказ за предоставяне на копие от договори за потребителски кредит, съдържащи лични данни, както и свързаните с направените по договорите плащания, който отказ е инкорпориран в писмо от 12.05.2025 г. на дружеството „Кредирект“ ЕООД с ЕИК: *********, със седалище гр. София, действащо в качеството му на администратор на лични данни.

ВРЪЩА преписката на „Кредирект“ ЕООД с ЕИК: *********, със седалище гр. София за ново произнасяне по заявление на Н. И. Б. от 21.11.2024 г., при съобразяване с указанията по тълкуване и прилагане на закона в мотивите на настоящото решение.

ОПРЕДЕЛЯ на „Кредирект“ ЕООД с ЕИК: *********, 7-дневен срок за произнасяне по заявлението на Н. И. Б., считано от влизане на решението в сила.

ОСЪЖДА „Кредирект“ ЕООД с ЕИК: *********, със седалище и адрес на управление: гр. София, р. М., б. „Ц. ш.“ № ***, ***, представлявано от у. Н. П. П., да заплати на Н. И. Б. с [ЕГН], с постоянен адрес: [населено място], [жк], ***. ***, сумата от 10 /десет/ лева, представляваща разноски по делото.

ОСЪЖДА „Кредирект“ ЕООД с ЕИК: *********, със седалище и адрес на управление: гр. София, р. М., б. „Ц. ш.“ № ***, ***, представлявано от у. Н. П. П., да заплати на адвокат П. С. П., в. в *** с личен № **********, с код по БУЛСТАТ *********, адвокатско възнаграждение в размер на 900 /деветстотин/ лева.

Решението може да се обжалва с касационна жалба пред Върховен административен съд на Република България в 14-дневен срок от съобщаването му на страните.