Решение по дело №286/2025 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на А. Г. В. от [населено място], подадена чрез пълномощник – адв. М. М. като управител на Еднолично адвокатско дружество М. [населено място], срещу отказ на „КРЕДИ ЙЕС“ ООД [населено място] в качеството му на администратор на лични данни да предостави на жалбоподателя копия на всички носители на личните му данни, обработвани от дружеството – договори и др., обективиран в получен по електронен път на 07.03.2025 г. отговор от „КРЕДИ ЙЕС“ ООД [населено място] с изх. № 687 от 04.03.2025 г. във връзка с искане на А. Г. В. от 07.02.2024 г., изпратено им по електронен път на 08.02.2025 г. чрез упълномощеното от него Еднолично адвокатско дружество М. [населено място] с управител адв. М. М. и заведено в „КРЕДИ ЙЕС“ ООД [населено място] с вх. № 146 от 10.02.2022 г.

Жалбоподателят твърди, че на 08.02.2025 г., чрез пълномощника си – адв. М. М. като управител на Еднолично адвокатско дружество М. [населено място], е изпратил по електронен път искане до „КРЕДИ ЙЕС“ ООД [населено място] на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета да му бъде предоставена информация относно личните му данни, обработвани от дружеството за периода 07.02.2019 г. – 07.02.2025 г., както и да му бъдат предоставени копия на всички носители на личните му данни – договори, стандартни европейски формуляри, погасителни планове и др., за да бъде извършена проверка на обработваните данни, доколкото наличието на същите и подписването им в частност са основанията, въз основа на които се обработват личните му данни от администратора. На 07.03.2025 г. получил по електронен път отговор от „КРЕДИ ЙЕС“ ООД [населено място], съдържащ информация за личните му данни, обработвани от дружеството, в т. ч. изявление за обработката им на основание сключени между тях договори за паричен заем. В получения отговор обаче не били посочени конкретните договори – номера и дати на сключване, както и исканията за отпускане на кредит и др. носители на информация, въз основа на които се обработват личните му данни, като на жалбоподателя не били предоставени и изрично поисканите от него носители на личните му данни с аргумента, че администраторът на лични данни нямал такова задължение, т. е. бил налице отказ за предоставянето им. Поддържа, че „КРЕДИ ЙЕС“ ООД [населено място] е администратор на лични данни и е задължен по смисъла на чл. 12 от Регламента да предприема необходимите мерки за предоставяне на всякаква информация, която се отнася до обработването, на субекта на данните, в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, поради което на основание чл. 15 от Регламента той (жалбоподателят) имал право да получи от администратора потвърждение дали се обработват личните му данни и ако това е така, да получи достъп до тях и информация за целите на обработването им, съответните категории лични данни и получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, както и да получи копие от личните данни, които са в процес на обработване. Сочи, че съобразно разпоредбата на чл. 20 от Регламента субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. С оглед на това смята, че без да му бъдат предоставени носителите на личните данни, не би могъл да разбере дали личните му данни се обработват легитимно при положение, че не знае дали изобщо има основание за обработването им. Позовава се на практика на СЕС, ВАС и административните съдилища, в т. ч. и на настоящия съд. Предвид изложеното иска от съда да отмени обжалвания отказ и да задължи „КРЕДИ ЙЕС“ ООД [населено място] в 7-дневен срок от влизане в сила на решението да му предостави копия на носителите на личните му данни, обработвани от дружеството – договори и др. Претендира за направените по делото разноски. В съдебно заседание е направено и искане на пълномощника на жалбоподателя да бъде определено адвокатско възнаграждение по чл. 38 от Закона за адвокатурата (ЗА).

Ответникът – „КРЕДИ ЙЕС“ ООД [населено място], чрез процесуалния си представител в представена молба вх. № 3070 от 15.05.2025 г. (л. 42 – 43), оспорва жалбата като неоснователна и моли да бъде отхвърлена. Смята, че с отговора си на отправеното му от жалбоподателя искане е предоставил на същия дължимата му информация, ведно с копие на личните му данни, в обем и по начин, определени от Регламент (ЕС) 2016/679, както и че с искането си да му бъдат предоставени копия на носителите на личните му данни жалбоподателят не търси защита на права, предоставени му по силата на цитирания регламент, а търси защита на граждански права по гражданскоправен спор. В тази връзка сочи, че жалбоподателят е получил екземпляр от подписните документи във връзка със сключването на договор/и за паричен заем и е имал възможност да си осигури пряк достъп до личните му данни чрез платформа, предлагана от дружеството, което при това с отговора си му е изпратило извлечение от регистъра си с лични данни, т. е. жалбоподателят е разполагал с личните си данни, обработвани от дружеството, и е могъл ефективно да защити предоставените му права по Регламент (ЕС) 2016/679, предвид което искането му е неоснователно по смисъла на чл. 12, пар. 5, б. „б“ от регламента. Претендира за юрисконсултско възнаграждение.

Въз основа на събраните по делото доказателства съдът намира за установено от фактическа страна следното:

На 08.02.2025 г. жалбоподателят А. Г. В., чрез адв. М. М. – управител на Еднолично адвокатско дружество М., подал по електронен път до ответника „КРЕДИ ЙЕС“ ООД [населено място] в качеството му на администратор на лични данни искане с дата 07.02.2005 г., подписано с КЕП (л. 5 и л. 24 – 26), с което на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО – Общ регламент относно защитата на данните (ОРЗД), поискал да му бъде предоставена информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, за периода от 07.02.2019 г. до 07.02.2025 г. Изрично поискал също да му бъдат предоставени и всички носители на личните му данни – договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни, и др., за да извърши проверка на обработваните данни. Посочил, че иска информацията и документите да му бъдат предоставени на имейл адрес: [електронна поща]. Към искането е било приложено пълномощно за подалия го адвокат като управител на упълномощеното от него Еднолично адвокатско дружество. Искането е регистрирано при „КРЕДИ ЙЕС“ ООД [населено място] с вх. № 146 от 10.02.2025 г.

В отговор изх. № 687 от 04.03.2025 г. от ответника – „КРЕДИ ЙЕС“ ООД [населено място], чрез длъжностно лице по защита на личните данни, на 07.03.2025 г. на посочения от жалбоподателката имейл адрес бил изпратен писмен отговор, ведно с приложение, съдържащо информация за личните му данни, обработвани от дружеството (л. 6 – 8 и л. 27 – 32), съдържащ информация за личните му данни, обработвани от дружеството, в т. ч. изявление за обработката им на основание сключени между тях договори за паричен заем, ведно с приложение, съдържащо копия на личните му данни, които се обработват. В отговора не са посочени конкретните договори – номера и дати на сключване, както и др. носители на информация, въз основа на които се обработват личните данни на жалбоподателя, и с него на жалбоподателя не са предоставени изрично поисканите носители на личните му данни с аргумента, че администраторът на лични данни няма такова задължение съгласно ОРЗД.

Жалбата е подадена в съда, ведно с приложенията й, на 19.03.2025 г. (л. 1 и сл.).

По делото са приети като писмени доказателства искането на жалбоподателя и отговора на ответника, цитирани по-горе, ведно с данни за изпращането/получаването им, както и Удостоверение по чл. 39, ал. 4 от ЗЗЛД на Комисията за защита на личните данни (КЗЛД) с изх. № ППН-01-476#1 от 17.04.2025 г. (л. 35).

При тези фактически установявания, като обсъди направените в жалбата оплаквания, доводите и становищата на страните и взе предвид относимата нормативна уредба, съдът приема от правна страна следното:

ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД – сезиране на КЗЛД (чл. 38, ал. 1 от ЗЗЛД) и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК (чл. 39, ал. 1 от ЗЗЛД). Видно от съдържанието на релевантните правни норми, в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 от ЗЗЛД – да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В случая по делото е установено, видно от представеното удостверение на КЗЛД, че пред комисията няма висящо или приключило административно производство, което да е идентично от гл. т. на предмет и страни с настоящото съдебноадминистративно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Според отговора на ответника на отправенето му от жалбоподателя искане между страните са налице облигационни отношения – сключен договори за заем, без да са цитирани номера и дати на сключването им. Посочено е, че във връзка с тях ответникът, като кредитор, обработва лични данни на длъжника – жалбоподателя. Следователно жалбоподателят е субект, чийто лични данни са обработвани от дружеството, и като такъв има право на достъп до обработваните му от него лични данни съгласно чл. 15 от Регламент ОРЗД, като това си право той е реализирал чрез отправено по електронен път искане по чл. 37б от ЗЗЛД – на 08.02.2025 г., до администратора на личните му данни, какъвто ответникът не оспорва, че е, а и безспорно попада в хипотезата на определението по чл. 4, т. 7 от ОРЗД. Съответно за ответника – администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателя заявление, като съгласно разпоредбата на чл. 12, § 3 от ОРЗД това е следвало да стане без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, което той е и направил с изпратения му по електронен път писмен отговор – на 07.03.2024 г., който е предмет на оспорване. Същият, от гл. т. на неговото съдържание, в т. ч. и приложение, очевидно обективира отказ на искането на жалбоподателя да му бъдат предоставени копия от носителите на личните му данни, обработвани от дружеството, тъй като такива не са му предоставени и изрично се сочи, че за ответника не съществува такова задължение съгласно ОРЗД, а това обуслява правния интерес на жалбоподателя от оспорването на този отказ.

Доколкото обжалваният отказ не съдържа указание за срока за обжалване по съдебен ред, срокът за съдебното му обжалване се удължава на два месеца съгласно чл. 140, ал. 1 от АПК във връзка с чл. 39, ал. 1 от ЗЗЛД, в който и срок е подадена жалбата – на 12-ия ден от получаването на отговора.

Следователно оспорването, като направено от легитимирано лице с правен интерес против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, в законустановения срок и при липса на забраната по чл. 39, ал. 4 от ЗЗЛД, е процесуално допустимо.

Разгледана по същество, жалбата е основателна.

Подаденото от жалбоподателя искане до ответника е във връзка с упражняване на правата му по чл. 15 от ОРЗД, а съгласно § 3 на цитираната разпоредба администраторът е длъжен да предостави копие от личните данни на субекта.

Тълкувайки чл. 15, § 3, изречение първо от ОРЗД във връзка с принципа на прозрачност, предвиден в чл. 12, § 1 от регламента, СЕС приема в решението си от 04.05.2023 г. по дело С-487/21, че правото да се получи от администратора копие на лични данни, които са в процес на обработване, изисква на субекта да се предостави точна и разбираема реплика на всички тези данни, но и че това право предполага правото на получаване на копие от извлечения от документи и дори цели документи или извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

С оглед на изложеното, доколкото в чл. 6, § 1, б. „б“ от ОРЗД е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай, а в чл. 17, ал. 1, § 1, б. „г“ от ОРЗД е предвидено, че субектът на данни има право да поиска от администратора изтриване на свързаните с него лични данни, ако те са били обработвани незаконосъобразно, и доколкото жалбоподателят изрично е поискал да му бъдат предоставени копия от всички носители на личните му данни, за да извърши проверка на обработваните данни, съдът приема, че предоставянето на последните е било задължително, за да може жалбоподателят ефективно да упражни предоставено му с регламента право.

Вярно е, че доколкото е страна по сключените с ответника договори за паричен заем, жалбоподателят би следвало да разполага с екземпляри от тях, но този факт – дали заявителят (жалбоподателят) съхранява или не своите екземпляри от договорите, не е относим към задължението на администратора на личните данни съгласно ОРЗД и ЗЗЛД да предостави копия на ностителите на личните данни, когато те са надлежно поискани по реда на чл. 37б и чл. 37в от ЗЗЛД. Не са налице и предпоставките за отказ от предоставянето им – конкретно изброените хипотези в чл. 37а, ал. 1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

Недоказано и изцяло почиващо на предположения е възражението на ответника, че с искането си да му бъдат предоставени копия на носителите на личните му данни жалбоподателят преследва други цели – търси защита на права по гражданскоправен спор. Нещо повече: сам по себе си фактът, че в отговора на ответника не са били индивидуализирани договорите, във връзка с които се сочи, че се обработват лични данни на жалбоподателя, обосновава правния интерес на последния да иска да му се предоставят копия от тези договори, за да може ной най-малкото да извърши проверка на обработваните данни и основанието за обработването им.

В горепосочения смисъл са Решение № 7101 от 28.06.23 г. по адм. дело № 1825/2023 г. на ВАС, V о., Решение № 1159 от 11.02.25 г. по адм. дело № 9474/2024 г. на ВАС, V о., и Решение № 4856 от 12.05.25 г. по адм. дело № 1911/2025 г. на ВАС, V о.

По тези съображения жалбата се явява основателна и оспореният отказ следва да бъде отменен като незаконосъобразен, а преписката да бъде изпратена на ответника като администратор на лични данни за ново произнасяне по искането на жалбоподателя за предоставяне на копия от всички носители на личните му данни в 7-дневен срок от влизане в сила на настоящото решение, при съобразяване с дадените указания по тълкуването и прилагането на закона

С оглед на изхода от делото на жалбоподателя следва да се присъдят направените по делото разноски в размер на 10 лв., представляващи заплатена държавна такса, а на пълномощника му – адвокатско възнаграждение при условията на чл. 38, ал. 2 от ЗА, съгласно която разпоредба, когато в съдебното производство насрещната страна дължи разноски, адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение в размер, определен от съда, като възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл. 38, ал. 1, т. 2 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице с оглед на представения договор за правна защита и съдействие – л. 47, в който изрично е отразено, че на жалбоподателя е оказана безплатна правна помощ предвид обстоятелството, че е материално затруднено лице. Ето защо, имайки предвид:

минималния размер на адвокатското възнаграждение по чл. 8, ал. 3, т. 10 от Наредба № 1 от 09.07.2014 г. за минималните размери на адвокатските възнаграждения – 900 лева;

решение на СЕС по дело № С-438/22;

ниската фактическа и правна сложност на делото и приключването му в едно съдебно заседание;

обема и вида на осъществената от процесуалния представител на жалбоподателя правна помощ – изготвяне на жалба и осъществяване на процесуално представителство в съдебно заседание;

представената справка за регистрация по ЗДДС на Еднолично адвокатско дружество М., представлявано от адв. М. М. – л. 48;

съдът намира, че ответникът следва да бъде осъден да заплати на Еднолично адвокатско дружество М., представлявано от адв. М. М., сумата от 600 (шестстотин) лева, представляваща адвокатско възнаграждение за оказана безплатна адвокатска помощ и съдействие на основание чл. 38, ал. 1, т. 2 от ЗА (500 лева) с ДДС (100 лева).

Водим от горните мотиви, Административен съд Стара Загора на основание чл. 172, ал. 2 от АПК

Р Е Ш И :

ОТМЕНЯ по жалба на А. Г. В., [ЕГН], отказа на „КРЕДИ ЙЕС“ ООД [населено място], ЕИК *********, в качеството му на администратор на лични данни да предостави на жалбоподателя копия на всички носители на личните му данни, обработвани от дружеството – договори и др., обективиран в получен по електронен път на 07.03.2025 г. отговор от „КРЕДИ ЙЕС“ ООД [населено място] с изх. № 687 от 04.03.2025 г. във връзка с искане на А. Г. В. от 07.02.2024 г., изпратено им по електронен път на 08.02.2025 г. чрез упълномощеното от него Еднолично адвокатско дружество М. [населено място] с управител адв. М. М. и заведено в „КРЕДИ ЙЕС“ ООД [населено място] с вх. № 146 от 10.02.2022 г., като незаконосъобразен.

ИЗПРАЩА преписката на „КРЕДИ ЙЕС“ ООД [населено място], ЕИК *********, за ново произнасяне по искането на А. Г. В., [ЕГН], изпратено по електронен път на 08.02.2025 г. чрез упълномощеното от него Еднолично адвокатско дружество М. [населено място] с управител адв. М. М. и заведено в „КРЕДИ ЙЕС“ ООД [населено място] с вх. № 146 от 10.02.2022 г., да му бъдат предоставени копия на всички носители на личните й данни, обработвани от дружеството – договори и др., при съобразяване с дадените в мотивите към настоящото решение указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ на „„КРЕДИ ЙЕС“ ООД [населено място], ЕИК *********, 7-дневен срок за произнасяне, считано от влизане в сила на настоящото съдебно решение.

ОСЪЖДА „КРЕДИ ЙЕС“ ООД, ЕИК *********, със седалище и адрес на управление [населено място], бул. „България“ № 196, да заплати на А. Г. В., [ЕГН], от [населено място], [жк], вх. Б, ет. 1, ап. 41, сумата от 10 (десет) лева, представляваща направени разноски по делото.

ОСЪЖДА „КРЕДИ ЙЕС“ ООД, ЕИК *********, със седалище и адрес на управление [населено място], бул. „България“ № 196, да заплати на Еднолично адвокатско дружество М., ЕИК *********, със седалище и адрес на управление [населено място], [улица], ет. 5, офис 42, представлявано от адв. М. В. М., сумата от 600 (шестстотин) лева, представляваща адвокатско възнаграждение за оказана безплатна адвокатска помощ и съдействие на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата.

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните, ведно с препис от него.