Решение по дело №873/2024 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от Административно-процесуалния кодекс /АПК/, във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба от М. Х. К. от [населено място], чрез адв. М. против мълчалив отказ на „КРЕДИЛЕНД“ ЕООД, ЕИК *********, седалище [населено място], представлявано от Управителя Т. М. да предостави информация по чл.15 от регламент /ЕС/ 679/2016г. на ЕП и на Съвета относно това дали личните данни на М. Х. К. от [населено място], [ЕГН] са обработвани от „КРЕДИЛЕНД“ ЕООД, целите за обработване, категориите лични данни, които обработват, получателите и категориите получатели, пред които са разкрити тези данни, като се представят копия от личните данни, които са обработвани, вкл. носителите на тези лични данни /договори за заем, искания за кредит и др.

Г-жа Козарева твърди, че на 21.08.2024г. чрез упълномощено от нея лице подала до по електронна поща до „КРЕДИЛЕНД“ ЕООД искане по чл.15 от Регламент /ЕС/ № 679/2016 на Е. П. и на Съвета в качеството й на субект на лични данни до администратора на същите. С искането е заявено предоставяне на информация дали личните данни на М. Х. К. от [населено място], [ЕГН] са обработвани от „КРЕДИЛЕНД“ ЕООД, целите за обработване, категориите лични данни, които обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и изискала да се представят копия от личните данни, които са обработвани, вкл. носителите на тези лични данни /договори за заем, искания за кредит и др. По това искане в установения срок не бил предоставен отговор от „КРЕДИЛЕНД“ ЕООД, поради което е формиран мълчалив отказ от предоставяне на исканата информация.

Ответникът в отговор на подадената жалба навежда твърдение, че „КРЕДИЛЕНД“ ЕООД не е получавал искане от М. Х. К. от [населено място] или чрез упълномощено от нея лице за предоставяне на информация по чл.15 от Регламент 679/2016, като подадено на 21.08.2024г. в 11.45 часа, нито такова е подадено на официалния адрес, имейл, национален телефон, посочени в Общите условия на дружеството и в политиката му за защита на личните данни, публикувани на сайта на „КРЕДИЛЕНД“ ЕООД. Твърди се, че във формите за контакт на всички регионални структури на дружеството е посочен имейл за отправяне на запитвания и прочие въпроси, свързани с личните данни единствено адрес o[електронна поща].

Претендира недопустимост на жалбата, тъй като липсва сезиране до него в смисъла, заявен с жалбата до съда, поради което и няма формира мълчалив отказ, както се твърди от М. К..

Жалбоподателката, редовно и своевременно призована в с.з. се представлява от адв. М., който поддържа жалбата на доверителката си. Пледира за отмяна на мълчаливия отказ и присъждане на разноски.

Ответникът, редовно и своевременно призован, не се представлява. Поддържа становище за недопустимост на жалбата, в евентуалност за нейната неоснователност.

Съдът, въз основа на приетите по делото доказателства, приема за установено от фактическа страна следното:

От електронен адрес [електронна поща] на 21.08.2024г. в 11.45 часа е изпратено електронно съобщение /л.6, гръб/ с подател М. Х. К. до електронен адрес starazagora@credilend/bg искане до Кредиленд ЕООД за предоставяне на информация за GDPR, с прикачени два файла /PDF/. Видно от л.6, съдържанието на единия прикачен файл е искане от М. Х. К. до „КРЕДИЛЕНД“ ЕООД като администратор на личните данни на заявителката, да й предостави информация дали личните данните на М. К. се обработват от дружеството, целите за обработване, категорията лични данни, които се обработват, получателите и категорията получатели, пред които се разкриват тези данни, както и копия от личните данни, които са в процес на обработване за периода от 21.08.2019г. до 21.08.2024г. Направено е искане всички носители на личните данни на заявителката да й бъдат предоставени. Другият файл съдържа пълномощно в полза на адв. М..

От писмо на л. 19 е удостоверено, че пред КЗЛД няма образувано и висящо производство по жалба на М. Х. К. с предмет – мълчалив отказ от КРЕДИЛЕНД ЕООД по заявление по чл.15 от Регламент ЕС 2016/679 на Е. П. и Съвета. По делото е приложена и разпечатка от официалната интернет страница на ответника /л.34/.

Съдът допусна и изслуша съдебно-техническа експертиза, изготвена от ВЛ инж. В., чието заключение е изготвено обективно и е прието от съда и страните. Съгласно заключението на ВЛ по поставените му въпроси, въз основа на извършеното от него обследване, същият заключава, че от изпращач [електронна поща] на 21.08.2024г. в 11.45.35 часа българско време е изпратено писмо до starazagora@credilend/bg и няма индикации за технически проблеми при изпращането от страна на Gmail сървъра. От обработените от ВЛ данни, същото дава заключение, че писмото е било успешно обработено от Gmail сървъра и е предадено на сървъра на получателя, т.е., че е достигнало до домейна [интернет адрес], като няма данни за отхвърляне след това. ВЛ сочи, че липсва включено пряко потвърждение за доставката или прочитане в предоставените данни и ако получателят не поддържа или не е активирал съответната функция, известие за изпращането няма да му бъде изпратено. Ако е имало проблеми с доставката, според ВЛ съобщение за отхвърляне би следвало да се изпрати до [електронна поща] /Return-Path/, но такова не е предоставено. ВЛ пояснява, че въпреки данните за успешно предаване на имейла до сървъра на получателя, окончателното му пристигане е обусловено от фактори, като настройки на сървъра, филтриране на спам или действия на получателя, за които няма доказателства, но заключава, че все пак може да се заключи, че по електронен адрес starazagora@credilend/bg е получено писмо, изпратено от електронен адрес [електронна поща], защото има данни за успешното приемане на писмото от сървъра Gmail, обработено е от него и е предадено към сървъра на домейна на получателя, в случая credilend/bg. Потвърдено от идентификатора на транзакцията, показва, че имейлът е достигнал до сървъра, обслужващ адреса starazagora@credilend/bg, а липсват индикации за проблеми с доставката.

При така установеното от фактическа страна, от правна съдът приема следните изводи:

По допустимостта на жалбата: по делото е направено изрично възражение от ответната страна за процесуална недопустимост на жалбата, основано с твърдението, че дружеството не е формирало оспорения пред съда мълчалив отказ да се произнесе по искане на г-[жк], основано на чл.15 от регламент 679/2016 на Е. П. и Съвета, тъй като до задълженото по ЗЗЛД лице не е подадено такова искане, съотв. то не е формирало никакво изявление с правно значение. По делото съдът допусна, изслуша и прие съдебно – техническа експертиза, от заключението по която приема за удостоверен пред него фактът, че на 21.08.2024г. в 11.45.35 часа от адрес [електронна поща] е изпратено електронно съобщение, с прикачени към него два файла /PDF/ до получател с електронен адрес [електронна поща], което електронно съобщение с прикачени към него два файла е получено от сървъра на получателя, обработено е без наличие на данни за технически проблем и без да има данни съобщението да е върнато обратно на изпращача.

Ето защо, Съдът приема за удостоверен факта, че от жалбоподателката на 21.08.2024г. в 11.45.34 часа по електронен път е изпратила от електронен адрес [електронна поща] електронно изявление, представляващо искане за упражняване на правата й по чл.15 от Регламент /ЕС/ 2016/679 с адресат „КРЕДИЛЕНД“ ЕООД. Съгласно чл.37б от ЗЗЛД, такова заявление може да се подаде от субекта на лични данни и по електронен път при спазване на условията на Закона за електронния документ и електронните услуги, Закона за електронното управление и Закона за електронната идентификация. Конкретното електронно изявление е изпратено до електронен адрес [електронна поща]. От извършена справка на официалната интернет страница на ответника https://[интернет адрес] в най-долната й част е наличен запис – „емейл за кореспонденция във връзка със защита на личните данни o[електронна поща]“. От приложената на л.34 разпечатка от интернет страница на ответника е видно, че ответникът има разкрит офис в [населено място], с обявен в интернет имейл адрес за кореспонденция на офиса - [електронна поща]. Също е видно от л.34, че под имейл адрес на офис Стара Загора е наличен изричен запис, че имейл адрес за кореспонденция във връзка със защита на личните данни е o[електронна поща]“.

Съдът при съобразяване на приложимото национално и европейско законодателство приема извод, че ответникът е надлежно сезиран с искане от М. К. с правно основание чл.15 от Регламент /ЕС/ 2016/679 на дата 21.08.2024г. по реда на чл.37б, ал.2 от ЗЗЛД, при надлежно удостоверен факт на /чрез приложен в електронен вариант на пълномощно/ на упълномощаване на фактическия подател на заявлението със съответното право да подаде заявлението, което заявление задължава задълженото лице /администратор на лични данни и/или обработващия такива/ да се произнесе по изричен начин.

Съгласно съображение 59, изр. второ от Регламент ЕС 2016/679, администраторът следва да предостави и средства за подаване на искания по електронен път, особено когато личните данни се обработват електронно. Администраторът следва да бъде задължен да отговоря на исканията на субекта на данни без ненужно забавяне и най-късно в рамките на един месец, както и да посочи причините, ако не възнамерява да се съобрази с тези искания. Съгласно съображение 63, всяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде осведомено за обработването и да провери законосъобразността му. …… Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно целите, за които се обработват личните данни, когато е възможно — срока, за който се обработват личните данни, получателите на личните данни, логиката на автоматизираното обработване на личните данни и последствията от такова обработване, най-малкото когато се извършва на основата на профилиране. Когато е възможно, администраторът следва да може да предоставя достъп от разстояние до сигурна система, която да предоставя на субекта на данните пряк достъп до неговите лични данни.

Качеството на ответника на администратор и обработващ лични данни не е спорно в случая, поради което същия дължи съобразяване на своето поведение с постановките на Регламент ЕС 2016/679 и ЗЗЛД. Именно в това си качество ответникът дължи спазване на постановките от Раздел 1 от Регламента и в частност на член 12 - Прозрачна информация, комуникация и условия за упражняването на правата на субекта на данни. Съгласно точка първа, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, …... Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства.….. Съгласно точка 2, администраторът съдейства за упражняването на правата на субекта на данните по членове 15—22. Съгласно чл.15, т.1 от регламента, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация /подт. а-з/. Изрично в т.3 на член 15 е установено, че това право може да се упражни и чрез електронни средства.

Не е спорно, че ответникът има обявен на своята електронна страница официален електронен адрес за кореспонденция във връзка с защита на личните данни и това е o[електронна поща], както и е безспорно, че всеки от офисите на ответника, вкл. и този в [населено място] също има обявен на официалната електронна страница на „КРЕДИЛЕНД“ ЕООД електронен адрес за кореспонденция, който е [електронна поща]. В случая жалбоподателката е избрала да подаде своето заявление по реда на чл.37б, ал.2 от ЗЗЛД по електронен адрес, който е официално обявен от ответника и това е този на офиса на дружеството в [населено място]. Независимо, че този електронен адрес не е този, който е обявен за адрес за кореспонденция, свързана конкретно с въпросите със защитата на личните данни, то несъмнено електронният адрес [електронна поща] е обявен от самия администратор за такъв за контакт с него. Въпрос на вътрешна организация на администратора е, в случай, че по имейл на негов офис постъпи искане, което касае кореспонденция свързана със защитата на личните данни, то да бъде препратено за разглеждане и отговор от задълженото лице, при условие, че то дължи произнасяне и то следва да е добросъвестно, и при спазване на правата на заявителя. Именно по аргумент на съображение 59 от регламента, администраторът следва /дължи/ да предостави и средства за подаване на искания по електронен път, особено когато личните данни се обработват електронно. Несъмнено такива средства са предоставени, но съдът приема, че в случая дори и на подадено по електронната поща на офиса заявление, задълженото лице следва да приеме, разгледа това заявление и да се произнесе по него с изричен акт в едномесечен срок от подаването му, съобразно на установените от администратора факти по това заявление, а не да се шиканира с довод, че той не дължи произнасяне, тъй като заявлението не е подадено на обявен конкретен адрес за кореспонденция по въпроси, свързани със защитата на личните данни. Несъмнено е, че офисът в [населено място] е обособена структурна част от правната организация на ответника, поради което и действия, извършени от и пред тази структура ползват, съотв. задължават „КРЕДИЛЕНД“ ЕООД.

С оглед на това, с подаване на заявлението от Козарева на 21.08.2024г. на официално публикуван електронен адрес на структурна единица на „КРЕДИЛЕНД“ ЕООД, последният субект е следвало да съобрази това обстоятелство и да процедира съобразно установените за него задължения, в качеството му на администратор и обработващ лични данни. С непроизнасянето си по това заявление в срок до 21.09.2024г. е формиран мълчалив отказ по см. на чл.58, ал.2 от АПК, който е акт, годен за съдебен контрол по см. на чл.159, т.1 от АПК. Жалбата е подадена именно против такъв акт, поради което е процесуално допустима, вкл. и като подадена в едномесечен срок, считано от 21.09.2024г., т.е. до 21.10.2024г., на която дата до съда е подадена по електронен път и жалбата /вж. л.5/. Т.е. оспорването е процесуално допустимо, вкл. и като направено от активно легитимирано лице и Съдът дължи произнасяне по същество на същото. По делото липсват съображения, че заявлението не отговаря на изискванията на чл.37в, ал.1 от ЗЗЛД, а и видно от доказателството по делото, то отговаря на същите, вкл. и на чл.37в, ал.2 от ЗЗЛД. Т.е., налице е редовно подадено заявление по чл.15 от Регламента, по което задълженото лице дължи изрично произнасяне /вж. по арг. на пар.3 от чл. 12 от Регламентира/. Т. изрично произнасяне не налице, въпреки надлежно редовно сезиране от субект на лични данни до администратор на такива, което задължава последното лице да се произнесе с нарочен акт, с което не произнасяне в срок е формирал мълчалив отказ, който е незаконосъобразен и да се отмени, като преписката по подаденото от М. Х. К. на 21.08.2024г. заявление с правно основание чл.15 от регламент ЕС 2016/679 се върне на „КРЕДИЛЕНД“ ЕООД за произнасяне по същество на заявлението.

При този изход на спора основателна е претенцията на оспорващата за заплащане на направените от нея деловодни разноски, които се доказват до размера от общо 623 лв. /от които 10 лева ДТ и 613лв. депозит за ВЛ/. По делото е направено от адв. М. и искане по чл.38 от ЗАДв., което съдът намира за основателно и в полза на същия следва да се определи възнаграждение в размер на 900лв. на осн. чл.8, ал.2, т.10 от Наредба № 1/2004г. за възнаграждения за адвокатска работа, загл. изм. – ДВ, бр. 14 от 2025 г.

Водим от горното и на осн. чл.172, ал.2 от АПК, Съдът

РЕШИ:

ОТМЕНЯ по жалба на М. Х. К. от [населено място] мълчалив отказ на „КРЕДИЛЕНД“ ЕООД, ЕИК *********, седалище [населено място], представлявано от Управителя Т. М. да предостави информация по чл.15 от регламент /ЕС/ 679/2016г. на ЕП и на Съвета относно това дали личните данни на М. Х. К. от [населено място], [ЕГН] са обработвани от „КРЕДИЛЕНД“ ЕООД, целите за обработване, категориите лични данни, които обработват, получателите и категориите получатели, пред които са разкрити тези данни, като се представят копия от личните данни, които са обработвани, вкл. носителите на тези лични данни /договори за заем, искания за кредит и др.

ВРЪЩА на „КРЕДИЛЕНД“ ЕООД, ЕИК *********, седалище [населено място] преписката по заявление от 21.08.2024г., подадено от М. Х. К. от [населено място], [ЕГН] по електронна поща за произнасяне по същество на искането при съобразяване на указанията, дадени с това решение и определя срок за произнасяне от един месец, считано от получаване на преписката.

ОСЪЖДА „КРЕДИЛЕНД“ ЕООД, ЕИК *********, седалище [населено място] да заплати на М. Х. К. от [населено място], [ЕГН] деловодни разноски в размер на 623,00 /шестстотин двадесет и три/ лева.

ОСЪЖДА „КРЕДИЛЕНД“ ЕООД, ЕИК *********, седалище [населено място] да заплати на адв. М. В. М. адвокатско възнаграждение по чл.38, ал.2 от закона за адвокатурата в размер на 900,00 /деветстотин/ лева.

Решението подлежи на обжалване пред ВАС в 14 дневен срок от съобщаването му на страните.