Решение по адм. дело №47/2025 на Административен съд - Разград

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба вх.№ 229 от 20.02.2025г., уточнена с молба вх.№ 259 от 27.02.2025г., на И. С. Ж. от [населено място] в., [община], обл. Разградска, действащ чрез упълномощен адв. Н. Р., АК – гр. Бургас, съдебен адрес: гр. Бургас, ул. „Александър Велики“ № 72, против мълчалив отказ на "Лев Кредит" ЕООД – гр. Шумен, ЕИК ********, в качеството му на администратор на лични данни, да предостави на жалбоподателя копие от договор за потребителски кредит, ведно с всички, съпътстващи договора документи, съдържащи лични данни, по искане от 10.01.2025г., подадено по електронен път чрез пълномощник. Жалбоподателят твърди, че с искането си е имал за цел да провери дали личните му данни се обработват законосъобразно с оглед упражняване на правата му по Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета, тъй като не разполага с друг механизъм, за да провери размера на задължението си и кои точно данни е разрешил да бъдат обработвани от администратора на лични данни. В писмена защита чрез процесуалния представител излага и допълнителни съображения за защита на правата си като кредитополучател и съобразно разпоредбите на ЗПК и ЗЗП, с позоваване и на съдебна практика в тази връзка, че кредитодателят няма никакво разумно стопанско, а и законово основание да отказва да дава информация на кредитополучателя относно условията на договора, в които са инкорпорирани личните данни на кредитополучателя, доколкото същото противоречи не само на принципа на добросъвестността в гражданския оборот – чл. 63 от ЗЗД, но и на принципа за „отговорно поведение“, заложен в чл. 2 от ЗПК. Отговорното поведение изисква от кредитодателя не само да действа в свой интерес и да не пречи на другата страна да изпълнява (грижата на добрия стопанин), но дори и да й съдейства при изпълнението, доколкото тя се ползва със специална закрила, тъй като е по-слаба икономически. От съда се иска да отмени отказа като незаконосъобразен, като е заявена и претенция за присъждане на деловодни разноски.

Ответникът "Лев Кредит" ЕООД – гр. Шумен, ЕИК ********, представлявано от управител Д. Г. Ф., с Писмо-отговор вх.№ 383 от 27.03.2025г. оспорва да е постъпило искане за предоставяне на данни, поради което заявява невъзможност за представяне на административна преписка, образувана по повод на направеното от жалбоподателя искане от 10.01.2025г. Не ангажира становище по същество на съдебния спор.

Съдът, след като обсъди събраните по делото доказателства поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното:

На 10.01.2025 г. жалбоподателят И. С. Ж. е подал чрез упълномощен от него адв. Н. Р., АК – Бургас, молба до "Лев Кредит" ЕООД, с правно основание чл. 37б от ЗЗЛД и във връзка с правата му на достъп до лични данни по чл. 15 - 22 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета, с искане да му бъде представено копие от сключения с дружеството договор за кредит, ведно с всички, съпътстващи договора документи. Обосновал искането си с оглед проверка законността на обработване на личните му данни. Молбата била подадена по електронен път, на електронен адрес: ****@*********.**. Това е адресът за кореспонденция с "Лев Кредит" ЕООД, посочен в т. 6 от Декларация за обработване и съхранение на личните данни за целите на отпускане на кредит – неразделна част от Искане за потребителски кредит, в която са инкорпорирани и Правилата във връзка с упражняване правата на клиентите на дружеството по чл. 15 - 22 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета – утвърдени и публично оповестени на страницата „Защита на личните данни“: https://levcredit.bg/защита-на-личните-данни-І-23, съгласно представено по делото от ответната страна Писмо-отговор вх.№ 448 от 10.04.2025г. (л. 32 - 40 от делото). В заявлението на жалбоподателя бил посочен и електронен адрес, на който да бъдат изпратени всички документи във връзка с направеното искане.

Видно от пълномощното, приложено към заявлението, И. С. Ж. е упълномощил адв. Н. В. Р., АК – гр. Бургас, да го представлява и подписва пред „Лев Кредит“ ЕООД като заяви и получи копие от сключения помежду им договор за кредит, вкл. му дава изрични права да подаде жалба срещу „Лев Кредит“ ЕООД в Комисията за защита на личните данни или да сезира съответния съд при евентуален отказ от страна на дружеството да предостави сключения между страните договор за потребителски кредит.

По делото не се представиха доказателства, а и не се твърди сезираното дружество, в качеството му на администратор на лични данни, да е предоставило съответните данни по искането на жалбоподателя от 10.01.2025г. Напротив, изрично в Отговора по жалбата с вх.№ 383 от 27.03.2025г. ответната страна оспорва да е постъпило такова искане за предоставяне на данни, поради което твърди, че не е налична и преписка, образувано по този повод. Впоследствие във връзка с Разпореждания на съда № 175 от 24.02.2025г. и № 233 от 18.03.2025г. в хода на делото е постъпило Писмо вх.№ 383 ат 27.03.2025г., с което ответната страна заявява, че е направена вътрешна проверка в „Лев Кредит“ ЕООД, която установява, че има постъпило електронно писмо във фирмения имейл от дата 10.01.2025г., от имейл адрес с имена, подобни на процесуалния представител на И. С. Ж., но същият не е бил отварян поради факта, че е постъпил директно в папка „Спам“. Т.е. не се оспорва по делото, че искането за предоставяне на данни не е удовлетворено.

Не се установи също дали между страните има съществуващо облигационно правоотношение, възникнало по силата на сключен договор за кредит, но с Писмо-становище вх.№ 608 от 23.05.2025г. ответната страна потвърждава, че от името на жалбоподателя е постъпило искане от 18.06.2021г. за отпускане на потребителски кредит, ведно с подписана от него Декларация-съгласие, в качеството му на кредитоискател, за обработка на личните му данни, като е предоставил и копие на личната си карта.

Видно от писмо изх. № ППН-01-214#1 от 27.02.2025г., изпратено от Комисията за защита на личните данни (КЗЛД) по повод служебно изисканата от съда информация на основание чл. 39, ал. 4, изр. 2 от ЗЗЛД, след направена служебна справка на 26.02.2025 г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от И. С. Ж. срещу "Лев Кредит" ЕООД във връзка с искането му от 10.01.2025г. за предоставяне на данни.

Жалбата, по която е образувано настоящото съдебно производство е подадена в съда на 20.02.2025 г.

Съдът, като взе предвид твърденията и доводите на страните, и съобрази относимата нормативна уредба, прецени от правна страна следното:

Съгласно чл. 39, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

По делото категорично се установи, че оспорващият И. С. Ж. е отправил искане от 18.06.2021г. до „Лев Кредит“ ЕООД за отпускане на потребителски кредит, ведно с подписана от него Декларация-съгласие, в качеството му на кредитоискател, за обработка на личните му данни, като е предоставил и копие на личната си карта. В тази връзка между страните не е спорно, че жалбоподателят е субект, чиито лични данни са обработвани от дружеството–ответник и в това си качество има право на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните – ОРЗД или Регламент 2016/679).

Ответникът "Лев Кредит" ЕООД попада в хипотезата на определението по чл. 4, т. 7 от същия Регламент 2016/679, съгласно което "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Предвид горното, за ответното дружество, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателя искане, като с оглед разпоредбата на чл. 12, § 3 от Регламент 2016/679, информацията относно действията, предприети във връзка с искането по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Както се отбеляза по–горе, от ответника не са ангажирани доказателства да се е произнесъл изрично по подаденото от жалбоподателя искане от 10.01.2025г., а се сочи, че това искане изобщо не е отваряно поради постъпването му в папка „Спам“. Не са налице и данни срокът, посочен в чл. 12, § 3 от Регламент 2016/679 да е удължаван, каквато възможност принципно е допустима, но при спазване на посочените в разпоредбата предпоставки.

При това положение ЗЗЛД регламентира два самостоятелни и алтернативни способа за защита на субекта на данни при допуснато нарушение на неговите права по Регламент(ЕС) 2016/679 и по ЗЗЛД, а именно: по чл. 38, ал. 1 от закона чрез сезиране на нарочен надзорен орган – Комисията за защита на личните данни и по чл. 39, ал. 1 от същия закон – чрез сезиране на компетентен съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК. В ЗЗЛД липсва изрично регламентирана забрана за съдебно обжалване при неизчерпан ред за оспорване по административен ред пред КЗЛД. В случая по делото е безспорно установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично като страни и предмет с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с настоящата жалба и разглеждане по същество на правния спор.

Непроизнасянето на дружеството в 1-месечния срок от подаване на искането по чл. 37б от ЗЗЛД, т.е. до 10.02.2025 г. налага извода, че в случая е формиран мълчалив отказ по смисъла на чл. 58, ал. 1 от АПК. Жалбата срещу същия е депозирана на 20.02.2025 г., т.е. при спазване на срока по чл. 149, ал. 2 от АПК.

Предвид изложеното, оспорването като направено от лице с правен интерес, в законоустановения срок и против административен отказ, подлежащ съдебен контрол, е процесуално допустимо.

Разгледано по същество, същото е основателно по следните съображения:

Съгласно разпоредбата на чл. 4, т. 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице". Според чл. 4, т. 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Разпоредбата на чл. 37б, ал. 1 от ЗЗЛД сочи, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Член 15 от Регламент (ЕС) 2016/679 предвижда "право на достъп на субекта на данните", като според параграф 1, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Съгласно чл. 15, § 3 от Регламент 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

В разглеждания случай жалбоподателят чрез упълномощения от него адвокат е депозирал своето писмено искане по чл. 37б от ЗЗЛД до администратор на лични данни, какъвто безспорно е "Лев Кредит" ЕООД, при спазване на посочения в нормата административен ред. Съгласно чл. 37б, ал. 2 от ЗЗЛД, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В чл. 37б, ал. 3 от ЗЗЛД е предвидено, че заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Искането на жалбоподателя отговаря и на изискванията на чл. 37в, ал. 1 от ЗЗЛД относно реквизити и съдържание.

Съгласно чл. 12, § 4 от Регламент 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по него изрично (дори когато не предприема действия по него), което в случая не е сторено от дружеството – ответник.

Относно наличието на материалноправно основание за отказ на ответника да предостави на жалбоподателя достъп до заявените лични данни, съдът съобрази следното:

Подаденото от И. С. Ж. искане от 10.01.2025 г. е във връзка с упражняване на правата по Регламент 2016/679 (ОРОЗД) и както вече се посочи, съгласно § 3 на чл. 15 от този Регламент, администраторът е длъжен да предостави копие от личните данни на субекта. Не се установи по делото личните данни на И. С. Ж. да не са в процес на обработка към датата на иницииране на производството пред администратора на лични данни "Лев Кредит" ЕООД. Не са налице също така и ограничения по смисъла на чл. 23, § 1 и § 2 от ОРОЗД по отношение обхвата на задълженията и правата, предвидени в чл. 12-22 ОРОЗД на администратора на лични данни (чл. 37а ЗЗЛД).

Това обосновава извод, че "Лев Кредит" ЕООД, в качеството си на администратор на лични данни, е следвало да изпълни задължението си по чл. 15, § 1 и § 3 от ОРОЗД като предостави на субекта на данните поисканите лични данни, съдържащи се в носителите на тези лични данни - договор за кредит, искане за кредит и други придружаващи документи, в заявената форма за получаване на информацията - по електронен път на посочен имейл адрес, съответно информация относно обработваните от дружеството негови лични данни, целите за тяхното обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и предоставяне на информация за извършените плащания, в случай че има сключен между страните договор за потребителски кредит.

Отказът по отношение на заявителя И. С. Ж. да получи достъп до данните по реда на чл. 15, § 1 от ОРЗД е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5 от ОРЗД (Регламент (ЕС) 2016/687). С чл. 12, § 1 от ОРЗД администраторите на лични данни са задължени да осигурят достъп до данни на съответния субект във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и се обработват в съответствие с ОРЗД, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламента. Мълчаливият отказ е нарушение на принципа за прозрачност в дейността на администратора на лични данни, който гарантира спазването на принципите на законосъобразност, добросъвестност, ограничаване до необходимото във връзка с целите, за които се обработват, свеждане до минимум на данните, точност, цялостност, поверителност и отчетност при обработване на личните данни.

С отказа (в случая мълчалив) на администратора на лични данни, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя чл. 14 от Регламент 2016/679, и по-конкретно това по параграф 1, буква "в" - правото да се получи информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. Така, субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и ОРОЗД. В този смисъл ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

По изложените съображения жалбата се явява основателна. Мълчаливият отказ на "Лев Кредит" ЕООД, в качеството му на администратор на лични данни, да предостави достъп до лични данни по подаденото от И. С. Ж. искане от 10.01.2025 г. следва да бъде отменен като незаконосъобразен.

Предвид факта, че естеството на въпроса не позволява решаването му от съда, преписката следва да се върне на администратора на лични данни за произнасяне по заявлението, при съобразяване с дадените указания по тълкуването и прилагането на закона, като на основание чл. 174 от АПК следва да се определи четиринадесет дневен срок за издаване на административния акт.

Предвид изхода на делото и на основание чл. 143, ал. 1 от АПК, в полза на жалбоподателя следва да бъдат присъдени направените от него разноски, доказани в размер на 10.00 лева – заплатена държавна такси при образуване на делото.

Респ. в полза на представляващия жалбоподателя адвокат следва да бъде присъдено възнаграждение, претендирано при условията на чл. 38, ал. 1, т. 2 от Закона за адвокатурата (ЗА) предвид представения Договор за предоставяне на безплатна правна защита и съдействие (л. 8 от делото). Когато в съдебното производство насрещната страна дължи разноски, съгласно чл. 38, ал. 2 от ЗА адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение в размер, определен от съда, което възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл. 38, ал. 1, т. 2 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице, поради което следва да бъде заплатено от ответника адвокатското възнаграждение в размер на 900 лева, определено по реда на чл. 8, ал. 2, т. 10 от Наредба № 1 от 09.07.2004 г. за възнаграждения за адвокатска работа.

Мотивиран така и на основание чл. 172, ал. 1 и ал. 2, предл. второ от АПК във вр. чл. 173, ал. 2 и чл. 174 АПК, Административен съд - Разград

ОТМЕНЯ мълчаливия отказ на "Лев Кредит" ЕООД – гр. Шумен, ЕИК *********, представлявано от управител Д. Г. Ф., формиран по искане от 10.01.2025г., подадено от И. С. Ж. от [населено място] в., [община], обл. Разградска, действащ чрез упълномощен адв. Н. Р., АК – гр. Бургас.

ВРЪЩА на "Лев Кредит" ЕООД – гр. Шумен, ЕИК *********, искане от 10.01.2025г., подадено от И. С. Ж. от [населено място] в., [община], обл. Разградска, действащ чрез упълномощен адв. Н. Р., АК – гр. Бургас, за произнасяне при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, като на основание чл. 174 от АПК ОПРЕДЕЛЯ 14-дневен срок от влизане в сила на съдебното решение.

ОСЪЖДА "Лев Кредит" ЕООД – гр. Шумен, ЕИК *********, представлявано от управител Д. Г. Ф., на основание чл. 143, ал. 1 от АПК, ДА ЗАПЛАТИ на И. С. Ж., [ЕГН], от [населено място] в., [община], сумата от 10. 00 (десет) лева - разноски по делото.

ОСЪЖДА "Лев Кредит" ЕООД – гр. Шумен, ЕИК *********, представлявано от управител Д. Г. Ф., на основание чл. 38, ал. 2 във вр. с ал. 1, т. 2 от Закона за адвокатурата, ДА ЗАПЛАТИ на адв. Н. В. Р., АК – гр. Бургас, сумата от 900 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на И. С. Ж., [ЕГН], от [населено място] в., [община], безплатна адвокатска помощ и съдействие.

Решението подлежи на обжалване пред Върховния административен съд на Република България в 14-дневен срок от съобщаването му на страните.