Решение по адм. дело №977/2025 на Административен съд - Пловдив

І. Производството и исканията на страните:

1. Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

2. Образувано е по жалба на С. Ж. П., [ЕГН], адрес: [населено място], [улица], ет. *, ап. **, чрез адвокат С. Н., срещу мълчалив отказ на „Ти Би Ай Банк“ АД за предоставяне на информация за обработваните лични данни, ведно с копия на носителите на тези лични данни, формиран по молба от 30.03.2025г.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че се възпрепятства правото на оспорващия по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Иска се присъждане на сторените в съдебното производство разноски.

3. Ответникът – „Ти Би Ай Банк“ АД, ЕИК ****, с адрес: [населено място], р-н Лозенец, [улица], чрез процесуалния си представител – юрисконсулт Д. Р., поддържа становище за неоснователност на жалбата. Не отрича, че дружеството е било сезирано на 30.03.2025г. от жалбоподателя с молба (#425745) по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Общ регламент относно защитата на данните) на имейл адрес: [електронна поща], с която било заявено желание за получаване на сключения с жалбоподателя Рамков договор за платежни услуги. Във връзка с това, на 31.03.2025г. до жалбоподателя бил изпратен отговор с искане да предостави допълнителна информация за да бъде администрирана молбата. Твърди се, че жалбоподателят към 24.06.2025г. все още не бил отговорил на това искане, поради което административната преписка не била приключила и за Банката не бил стартирал срок за предоставяне на заявената информация. Отделно се сочи, че молба се явява извън обхвата на Общия регламент относно защитата на данните, тъй като заявителят целял всъщност закриване или трансформиране на банковата му сметка, поради наложени върху нея запори. В тази насока се визира проведена между страните кореспонденция в периода 20.05.2025г. – 27.05.2025г., с която жалбоподателят бил уведомен, че поради наличието на запори върху разплащателната му сметка същата не може нито да бъде закрита, нито „трансформирана“ в специална /адвокатска/ сметка. Поддържа се, че с молбата от 30.03.2025г. жалбоподателят злоупотребява с правата си, предоставени му по закон, с цел да упражни натиска върху Банката, за да закрие сметката. Претендира са присъждане на юрисконсултско възнаграждение.

ІІ. По допустимостта:

4. Според публично достъпните данни, отразени в Регистъра на лицензираните банки и клоновете на чуждестранни банки в Република България ([интернет адрес]), „ТИ БИ АЙ Банк“ EАД има качеството на кредитна институция по смисъла на чл. 2, ал. 1 от Закона за кредитните институции /ЗКИ/, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 2 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.)

Съобразно установената съдебна практика (Решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена, само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице. Каза се, между страните не се формира спор, че ответникът е бил сезиран с молба на основание чл. 15 от ОРЗД, по която не е получил желаната информация и копия от документи. По смисъла на § 3 от чл. 12 на ОРЗД, администраторът е длъжен да предостави на субекта на данни информация относно действията, предприети във връзка с искането по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При липсата на произнасяне и при наличието на изрично поставено задължение за това, в случая се установява наличието на формиран мълчалив отказ по молбата на жалбоподателя от 30.03.2025г. Жалбата е подадена в предвидения процесуален срок за оспорване при наличието на правен интерес срещу акт, подлежащ на съдебен контрол, поради което се явява ДОПУСТИМА.

ІІІ. Фактите по делото:

5. На 30.03.2025г. С. Ж. П. подал на имейл адрес: [електронна поща], молба до „Ти Би Ай Банк“ АД на основание чл. 15 и чл. 20 от ОРЗД в качеството му на субект, чиито лични данни се обработват, с искане в 14 – дневен срок да му бъдат предоставени копия от всички сключени между него и „Ти Би Ай Банк“ АД договори за разкриване на банкова сметка. Претенцията била мотивирана с това, че тези договори съдържат лични данни на заявителя и те се обработват на основание сключеното облигационно правоотношение. За получаване на отговор бил посочен адрес: greко@abv.bg.

6. На 31.03.2025г. от страна на „Ти Би Ай Банк“ АД бил изпратен отговор до адрес: greко@[интернет адрес], с който заявителят било уведомен, че за да му бъде оказано нужното съдействие следва да предостави телефонен номер за връзка.

7. В периода 20.05.2025г. – 27.05.2025г. между жалбоподателя и „Ти Би Ай Банк“ АД, била проведена кореспонденция по повод искането разплащателната му сметка да бъде закрита или трансформирана. В тази връзка жалбоподателят бил уведомен, че поради наличието на запори върху разплащателната му сметка желанието му не може да бъде удовлетворено.

8. По делото са представени копия от: сключен между страните Договор за потребителски кредит № **********/20.06.2014г.; искане за откриване на банкова сметка на физически лица от 20.06.2014г. и Рамков договор за платежни услуги за физически лица. Посочените документи съдържат лични данни на клиента/потребител – С. Ж. П., включително мобилен и стационарен телефонен номер.

IV. От правна страна:

9. Между страните не се формира спор по обстоятелството, че жалбоподателят е отправил искане до „Ти Би Ай Банк“ АД, с предмет право на достъп до обработваните му лични данни във връзка със сключени между тези страни договори. Отправеното искане се основава изрично на правата на клиента по чл. 15 и чл. 20 от ОРЗД и желание за получаване на копия от сключените с дружеството договори на посочена електронна поща.

Не се спори и по обстоятелство, че с оглед дейността на „Ти Би Ай Банк“ АД, ответникът попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни – „ … физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка“.

Не се спори и по обстоятелство, че между жалбоподателя и „Ти Би Ай Банк“ АД съществуват облигационни отношения, произтичащи от сключени между страните договори. Доказано е, че жалбоподателят е субект, чийто лични данни са обработвани от дружеството-ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните".

Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателя искане до „Ти Би Ай Банк“ АД има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД, чието съдържание отговаря на поставените от закона изисквания в т. 1 – т. 4 от същата правна норма, в частност като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено предоставянето на копия от сключените договори.

Съдържанието на уведомление на ответника до клиента от 31.03.2025г. по никакъв начин сочи, че за администратора на личните данни е имало пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Тук следва да се отбележи, че ако ответникът като администратор на лични данни е имал съмнение с каква цел е завени искането на жалбоподателя за представяне на копия от сключените с него договори, е следвало да процедира по реда на чл. 12, § 2 от Регламент 2016/679 - "Администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните".

Претенцията на администратор на лични данни за предоставяне на телефонен номер от жалбоподателя, в случая се явява извън хипотезата на чл. 12, § 2 от ОРЗД, тъй като Банката вече е разполагала с личните данни на жалбоподателя, включително два телефона за връзка и посочена електронна поща.

Още повече от съдържанието на проведената в последствие кореспонденция между страните (л. 59) е видно, че за администратора не е имало никаква пречка да идентифицира подателя на заявлението и без да е било удовлетворена претенцията му за представяне на телефонен номер от заявителя.

Съгласно чл. 12, § 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Нормата на § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. Правилото на § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/687, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин.

Следва да се отбележи, че копието на лични данни не би следвало винаги да се отъждествява с копие от документа, в който се съдържат тези данни. Въпреки това, разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори, и именно тези договори се явяват носители на информация за обработваните лични данни по см. на чл. 15, § 1 от Регламент 2016/679.

В т.1 от диспозитива на решение на СЕС от 26.10.2023г. по дело С-307/22 е посочено, че член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че: „администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент“.

В случая не са налице и ограничения по смисъла на чл. 23, § 1 и § 2 от Регламент 2016/679 по отношение обхвата на задълженията и правата, предвидени в чл. 12-22 Регламент 2016/679 на администратора на лични данни, който да обосновават издаването на пълен или частичен отказ по реда на чл. 37а ЗЗЛД.

Ответникът не доказва и хипотезата на чл. 12, § 5, б. „б“ от Регламент 2016/679, за явно неоснователен или прекомерен характер на искането.

При това положение се обосновава изводът, че за „Ти Би Ай Банк“ АД, в качеството й на администратор на лични данни, седи задължението по чл. 15, § 3 Регламент 2016/679 да предостави на субекта на данните - С. Ж. П., копие от поисканите с молбата от 30.03.2025 г. лични данни, съдържащи се в съставените договори, сключени клиента, в заявената форма за получаване на посочения от лицето адрес за кореспонденция.

Относно възражението на ответника, че в случая е налице превратно упражняване на права от страна на жалбоподателя, тъй като се цели закриване на банковата му сметка, следва да се посочи, че подаденото от жалбоподателя искане от 30.05.2025 г. е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679, администраторът е длъжен да предостави копие от личните данни на субекта. Това искане няма пряко отношение към подадените в последствие искания за закриване/трансформиране на банковата сметка на оспорващия. Жалбоподателят като страна по договорите има право на достъп и до заявените данни, което право не се конкурира с правото му да иска закриване или трансформиране на банковите му сметки. В този смисъл отправените по това искане отговори не могат да се квалифицират и като изричен отказ за предоставяне на данните по чл. 15 от Регламент 2016/679.

С мълчаливия отказа на администратора да предостави копия от сключените договори за кредит е преградена възможността на жалбоподателя да упражни правата, които му предоставя чл. 15 от Регламент 2016/679. В този смисъл ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че формираният мълчалив отказ е в противоречие с материалноправните разпоредби и целта на закона, поради което подадената срещу него жалба се явява основателна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на действия, съобразно задължителни указания по тълкуването и прилагането на закона.

V. По съдебните разноски:

10. Предвид изхода на делото на жалбоподателя следва да се присъдят сторените съдебни разноски, които се доказват в размер на 1010 лева, от които 10 лева, заплатени за държавна такса по производството и 1000 лева за адвокатска защита.

Ето защо, Съдът

 

Р Е Ш И:

 

ОТМЕНЯ мълчалив отказа на „Ти Би Ай Банк“ АД, ЕИК ****, с адрес: [населено място], р-н Лозенец, [улица], да предостави по молбата на С. Ж. П. от 30.03.2025г., на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, копия от всички сключени между него и „Ти Би Ай Банк“ АД договори за разкриване на банкова сметка.

ВРЪЩА преписката на „Ти Би Ай Банк“ АД, ЕИК ****, с адрес: [населено място], р-н Лозенец, [улица], за предприеме на действия по молбата от 30.03.2025г. на С. Ж. П., [ЕГН], адрес: [населено място], [улица], ет. *, ап. **, съобразно дадените от съда задължителни указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ едномесечен срок за изпълнение на съдебното решение, считан от влизането му в сила.

ОСЪЖДА „Ти Би Ай Банк“ АД, ЕИК ****, с адрес: [населено място], р-н Лозенец, [улица], да заплати на С. Ж. П., [ЕГН], адрес: [населено място], [улица], ет. *, ап. **, сумата от 1010 (хиляда и десет) лева, представляваща съдебни разноски.

Решението подлежи на обжалване с касационна жалба пред Върховния административен съд на Република България в четиринадесетдневен срок от съобщаването на страните за неговото постановяване.