Решение по адм. дело №1638/2025 на Административен съд - Пловдив

Образувано е по жалба на [област] А. М., [ЕГН], с адрес: [населено място] бани, общ. Асеновград, [улица], чрез адвокат Ц., против изричен отказ на дружеството „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, обективиран в съобщение от 24.07.2025г., изпратено по електронната поща [електронна поща], да предостави информация за обработваните лични данни на М., ведно с копие на носителите на тези лични данни – документи, в които се съдържат лични данни на лицето.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че на 24.07.2025г. е изпратено електронно съобщение, в което се съдържа прикачен файл във формат rar., като допълнително е изпратена и парола за достъп до документите в прикачения файл. При отключването на файла с паролата жалбоподателката е констатирала, че не се съдържат подписани от нея договори за кредит, общи условия, договори за поръчителство /ако има сключени такива/, платежни нареждания. Изложени са аргументи, че с отказа се възпрепятства правото на оспорващия да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Подробни съображения по съществото на спора са изложени и в постъпила по делото по електронен път молба вх. № 16151 от 06.10.2025г., имаща характер на писмена защита /л.56 – 60/.

Иска се присъждане на сторените в съдебното производство разноски.

Ответникът – „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, чрез процесуалния си представител адв. Ц., в нарочен отговор /л. 26 – 31/ изразява становище за недопустимост на жалбата и алтернативно – за нейната неоснователност. При позоваване на становище на Комисията за защита на личните данни № Д – 282/2013 от 19.07.2013г. излага твърдения, че правото на достъп до лични данни не включва правото на се получат копия от документи и за дружеството не възниква задължение да представя поисканата в тази част на искането информация. Претендира се присъждане на разноски по делото.

Съдът намира за установено от фактическа страна следното:

Жалбата процесуално ДОПУСТИМА, като подадена от лице, чиято правна сфера е засегната неблагоприятно от оспорения отказ, депозирана е в срока по чл. 149, ал. 2 АПК и по отношение на подлежащ на обжалване акт.

Възражението на ответника за недопустимост на жалбата е неоснователно, тъй като видно от представените към отговора от 24.07.2025г. документи сред тях не се съдържат копия на самите носители на лични данни, по-конкретно копия на договори за кредит №№ 1015144, 1178082, 1310245, 1363865, 1418058, 865724 и 970337, като са представени единствено погасителните планове към тях.

Разгледана по същество, същата е ОСНОВАТЕЛНА по следните съображения:

На 01.07.2025г. жалбоподателката М., чрез пълномощник адв. Ц. /пълномощно от л. 9 гръб/ е отправила искане на основание чл. 15 и чл. 20 от Регламент ЕС 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО за предоставяне копие от всички документи, в които се съдържат лични данни на искателя. Искането е изпратено по електронен път, получено е от ответното дружество и на 24.07.2025г. отново по електронен път до посочения и-мейл за връзка на искателя са представени документи, описани в придружаващия отговора имейл, в табличен вид /л. 10 гръб – 11/, по-конкретно обща сума на получения кредит, документи за самоличност и други документи, получени от клиента по време на въвеждането и по време на обслужването на клиенти, документи за идентификация, верификация, справка за кредитоспособност, записи на телефонни разговори, погасителни планове.

Във връзка с така получения отговор, е подадена жалба, по повод на която е образувано настоящото съдебно производство, в която е оспорен отказ за предоставяне на копия от всички договори за кредит, сключени между М. и дружеството, както и общи условия към тях, договори за поръчителство /ако има сключени такива/, платежни нареждания за направени погасителни вноски по кредитите.

По делото е постъпил отговор на ответника по жалбата, в който е посочено, че „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД няма задължение за предоставяне на копия от документи, съдържащи лични данни, извън тези, предоставени с отговора на искането от дата 24.07.2025г. Изложени са доводи, че от дружеството се изисква за втори път да представи информация, която вече е била предоставена на кредитополучателя, още повече, че тази информация не попада в категорията „лични данни“ по смисъла на ОРЗД и ЗЗЛД.

В хода на съдебното производство не са представени други доказателства от страните.

Въз основа на така приетата фактическа обстановка, съдът приема следното от правна страна:

Съгласно чл. 4, т. 2 от Регламент ЕС 2016/679 „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване, а според чл. 4, т. 1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

По настоящото производство между страните не се спори по обстоятелството, че жалбоподателката е отправила искане до „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД с предмет право на достъп до обработваните лични данни, включително във връзка със сключени между тях договори за кредит, както и общите условия към тях. Не е спорно и обстоятелството, че ответното дружество притежава качеството „администратор“ на лични данни по чл. 4, т. 7 от Регламент ЕС 2016/679 - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Според публично достъпните данни, отразени в Регистъра на финансовите институции по чл. 3а от Закона за кредитните институции /ЗКИ/, актуален към 23.07.2025г., дейността на „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД включва отпускане на кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства. Дружеството е вписано в регистъра под № 20 със заповед № РД22-1871/06.10.2009г. и като такова притежава и качеството на финансова институция по смисъла на чл. 3, ал. 1 ЗКИ, извършва дейност на територията на Република България, която е насочена към широк кръг потребители, и в следствие на тази дейност създава, съхранява и обработва данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 ЗКИ, които са лични данни по смисъла на чл. 4, т. 1 ОРЗД. Договорът за кредит безспорно съдържа лични данни по смисъла на същата разпоредба от Регламента.

Спор не се формира и по факта, че между страните по настоящото производство съществуват облигационни отношения, произтичащи от сключени между страните договори за кредит, копия от които не са представени по делото. Следва да се отчете, обаче, че договорът за кредит, по своята правна природа, безспорно съдържа лични данни по смисъла на чл. 4, т. 1 от Регламент ЕС 2016/679.

Страните не спорят по факта, че освен информацията за обработваните лични данни, в искането е било заявено и изрично желание на жалбоподателката М. за получаване копия от всички документи, които съдържат нейни лични данни.

Съгласно чл. 37б, ал. 1 от ЗЗЛД субектът на данни упражнява правата по чл. 15 - 22 от Регламент ЕС 2016/679 чрез писмено заявление до администратора на лични данни или по друг, определен от администратора начин. Чл. 15 от Регламента е озаглавен „Право на достъп на субекта на данните“, а в § 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните…“. В тази връзка неоснователно е възражението на ответника, че искането, отправено от жалбоподателя, не попада в обхвата на ОРЗД и ЗЗЛД. В допълнение следва да се посочи и следното: Според чл. 16, § 1 ДФЕС всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право и съгласно Хартата на основните права на Европейския съюз /ХОПЕС/. С цел защита на това право е приет именно Регламент ЕС 2016/679. Същият ОРЗД, съгласно чл. 99, е задължителен в своята цялост и се прилага пряко във всички държави членки. Освен Регламента, приложим национален материален закон се явява и ЗЗЛД, доколкото тези обществени отношения не са уредени от самия Регламент /чл. 1 от ЗЗЛД/.

Искането, отправено от жалбоподателката М. до администратора на лични данни - „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД на 01.07.2025г. по електронен път несъмнено има характера на заявление по чл. 37б , ал. 1 от ЗЗЛД. Същото съдържа предвидените от закона реквизити по чл. 37в, ал. 1 от ЗЗЛД, подадено е по реда на ЗЕДЕУУ /чл. 2 и чл. 9/, представлява електронен документ /чл. 3 ЗЕДЕУУ вр. чл. 3, т. 35 от Регламент ЕС 910/2014 на Европейския парламент и на Съвета от 23.07.2014/, съдържащ електронно изявление, което е подписано с квалифициран ел. подпис по смисъла на чл. 3, т. 12 от Регламент ЕС 910/2014. Налице е било и приложено пълномощно, удостоверяващо представителната власт на лицето, подало искането от името на заявителя съгласно чл. 37в, ал. 2 от ЗЗЛД. От това следва несъмнен извод, че администраторът на лични данни е бил надлежно сезиран със заявлението по чл. 37б, ал. 2 вр. ал. 1 от ЗЗЛД.

Както се установи по делото, отправеното от жалбоподателката искане по електронен път, е във връзка с упражняване на правата му по чл. 15 от ОРЗД. Съгласно § 3 на чл. 15 от Регламента администраторът е длъжен да предостави копие от личните данни на субекта.

На основание чл. 12, § 3 от Регламента администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по чл. 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. В случай на удължаване на срока, администраторът е длъжен на информира изрично субекта на данни за това. Правната норма на чл. 12, § 4 ОРЗД регламентира, че ако администраторът не предприеме действия по искането на субекта на данни, той следва да уведоми субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред.

Следователно, в едномесечен срок от искането администраторът на лични данни е длъжен да се произнесе по заявлението изрично, при това дори когато не предприеме действия по него. Това, в конкретния случай, не е сторено в пълнота от „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, като не са предоставени на искателя всички документи, съдържащи нейни лични данни. Видно от събраните по делото доказателства, включително отговорът на жалбата, ответникът не е проявил процесуална активност и не е ангажирал доказателства, с които да опровергава своето бездействие. Точно обратното, в отговора на жалбата е направено изрично изявление, че за дружеството не съществува задължение за предоставяне на копия от документи, съдържащи лични данни. Обратно на поддържаната от ответника защитна теза, нормата на чл. 12, § 1 ОРЗД създава задължение за администраторите на лични данни, при липса на основания за отказ от предоставяне на информация във връзка с чл. 37а от ЗЗЛД, вр. чл. 23 от ОРЗД, да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и се обработват в съответствие с ОРЗД, което гарантира възможността му да упражни впоследствие и други права, защитени от ОРЗД. В този смисъл са Решение № 14729/27.11.2020г. по адм. д. № 9910/2020 г. на ВАС, Решение № 7101/28.06.2023г. на ВАС по адм. д. № 1825/2023 г. на ВАС и др.

Администраторът в конкретния случай е бил длъжен да предостави на жалбоподателя копие от документи, съдържащи личните данни на субекта. Правото да се предостави копие на лични данни по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679 не е тъждествено на правото да се предостави копие на документите, носители на тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни. Съгласно обаче приетото в Решение на СЕС от 4.05.2023г. по дело C-487/21 това право предполага и правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, в т.ч. и да извърши проверка за спазване на принципа за законосъобразна обработка на данните. Разпоредбите на Регламент ЕС 2016/679, предоставящи права на субекта на данни, които последният може да упражни, произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва, като в случая обработването е започнало по повод възникнали правоотношения между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент ЕС 2016/679. Чл. 6, § 1, б. „б“ от ОРЗД посочва, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто именно е разглежданият случай. Жалбоподателката изрично е поискала да й бъдат предоставени копия от всички документи, съдържащи нейни лични данни. Тъй като личните данни се обработват включително за целите на сключените между страните договори за кредит, съдът приема, че предоставянето на същите е било задължително, за да може лицето ефективно да упражни правата си по ОРЗД, т.е. администраторът при поискване е дължал предоставяне на копия от документите.

Без правно значение е обстоятелството, дали на жалбоподателката е било предоставено копие от договорите за кредит и общите условия към тях към момента на сключването им с дружеството, тъй като, като страна по тези договори, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и ОРЗД във връзка с тези правоотношения. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на основните принципи, застъпени чл. 5 на Регламент ЕС 2016/679 – „(„законосъобразност, добросъвестност и прозрачност")“. С непредставянето на копия от посочените документи лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламента. Това води до лишаване и от „правото на защита на личните данни“, което му се предоставя и с чл. 8, § 1 от ХОПЕС, като е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, както и до възпрепятстване жалбоподателят да се възползва от правото му по чл. 8, § 2 от Хартата да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. В горния смисъл е и съдебната практика на ВАС по дела със сходен предмет – Решение № 1159/11.02.2025г. по адм. д. № 9474/2024 г., Решение № 7101/28.06.2023г. по адм. д. № 1825/2023 г., Решение № 2763/18.03.2025г. по адм. д № 11251/2024 г.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че оспореният отказ е издаден в противоречие с материалноправните и процесуалноправните разпоредби и целта на закона, поради което същият следва да бъде отменен.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителните указания по тълкуването и прилагането на закона.

Предвид изхода на делото на жалбоподателя следва да се присъдят сторените съдебни разноски, които се доказват в размер на 10 лева, заплатени за държавна такса по производството.

Основателна се явява и претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита. Според Закона за адвокатурата, в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати.

Съгласно чл. 8, ал. 2, т. 10 от Наредба № 1 от 9.07.2004г. за процесуално представителство, защита и съдействие по административни дела без определен материален интерес минималното възнаграждение е в размер на 900лв. без ДДС по дела по ЗЗЛД. По делото е представен списък с разноските /л. 7 гръб/, в който е посочена сума на адвокатско възнаграждение в размер на 1 000лв., което възнаграждение не се явява прекомерно.

Воден от горното, Съдът

Р Е Ш И:

 

ОТМЕНЯ по жалба на София А. М., [ЕГН], с адрес: [населено място] бани, общ. Асеновград, [улица], изричен отказ на дружеството „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, обективиран в съобщение от 24.07.2025г., изпратено по електронната поща [електронна поща], да предостави информация за обработваните лични данни на М., ведно с копие на носителите на тези лични данни – документи, в които се съдържат лични данни на лицето.

ЗАДЪЛЖАВА „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, [ЕИК] да предостави на [област] А. М., [ЕГН], с адрес: [населено място] бани, общ. Асеновград, [улица]документи, носители на неговите лични данни, в 1-месечен срок от влизане в сила на съдебното решение.

ОСЪЖДА „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, [ЕИК], със седалище и адрес на управление в [населено място] да заплати на София А. М., [ЕГН], с адрес: [населено място] бани, общ. Асеновград, [улица]сумата от 10 /десет/ лева, представляваща съдебни разноски.

ОСЪЖДА „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД, [ЕИК], със седалище и адрес на управление: [населено място] да заплати на адвокат Т. Ц. Ц., Софийска адвокатска колегия, със съдебен адрес: [населено място], [жк], [улица], ***, сумата от 1 000 /хиляда/ лева, представляваща адвокатско възнаграждение.

Решението подлежи на обжалване пред Върховния административен съд в 14 - дневен срок от съобщаването му на страните.