Решение по дело №663/2025 на Административен съд - Пловдив

І. Производството и исканията на страните:

1. Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

2. Образувано е по жалба на М. В. Г., [ЕГН], адрес: гр. Пловдив, [улица], ет. 5, ап. 12, чрез адвокат С. П., срещу мълчалив отказ на „Аксес Файнанс“ ООД за предоставяне на информация за обработваните лични данни, ведно с копия на носителите на тези лични данни, формиран по молба рег. № 107/10.02.2025г.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че се възпрепятства правото на оспорващия по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Иска се присъждане на сторените в съдебното производство разноски.

3. Ответникът – "Аксес Файнанс" АД, ЕИК ***, адрес: гр. София, р-н Триадица, [улица], [адрес], поддържа становище за недопустимо и неоснователност на жалбата. Твърди, че спор с настоящия предмет и страни вече е разглеждан по адм. дело № 491/2025г. по описа на Административен съд – Пловдив, в който съдът е установил, че претенцията на оспорващия е недопустима. По същество се сочи, че искането на жалбоподателя е удовлетворено при спазване на нормативните изисквания на ЗЗЛД. Твърди се, че претенцията на жалбоподателя е извън обхвата на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Общ регламент относно защитата на данните), поради което не е възникнало и задължение за предоставяне на копия от носители на лични данни. Възразява се срещу размер на разноските на другата страна.

ІІ. По допустимостта:

4. Не се формира спор по обстоятелството, че ответникът в производството е дружеството - финансова институция, вписана в регистъра на БНБ за финансовите институции по чл.3, ал.1 от Закона за кредитните институции с рег. № BGR00332, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.)

След служебна справка се установява, че предметът на адм. дело № 491/2025г. по описа на Административен съд – Пловдив е бил съдебен контрол върху мълчалив отказ на „Аксес Файнанс“ АД да предостави информация за обработваните лични данни ведно с копие на носителите на личните данни по молба рег. № 107/10.02.2025г.

Искането на Г. било получено от „Аксес Файнанс“ АД на 10.02.2025г. срещу подпис от служител на дружеството.

В хода на съдебното производство е установено, че до заявителя е изпратено уведомление от „Аксес Файнанс“ АД с изх. № 107/10.03.2025г., с което дружеството предоставило заявената информация. При тази фактическа обстановка съдът приел, че едномесечният срок за произнасяне на лицето, обработващо личните данни по чл. 12 ал. 3 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /ОРЗД/, бил спазен, поради което подадената на 06.03.2025г. в деловодството на съда жалба се явява преждевременна. Отделно, с оглед предоставената на заявителя информация с уведомление изх. № 107/10.03.2025г., съдът приел и отпадане на правния интерес за търсената съдебна защита, поради което с определение № 2738 от 21.03.2025 г. оставил жалбата без разглеждане и прекратил съдебното производство. Съдебният акт не обжалван и е влязъл в сила.

Настоящият състав на съда намира, че постановеният съдебен акт по адм. дело № 491/2025г. по описа на Административен съд – Пловдив не третира съществото на спора и не се ползва със сила на присъдено нещо. Макар жалбоподателят да не е упражнил правото си на жалба срещу определението за прекратяване на производството, за него не отпада правният интерес да оспори отказа на „Аксес Файнанс“ АД, обективиран в уведомление с изх. № 107/10.03.2025г., в частта да му бъдат предоставени в цялост копия на носителите на обработваните от дружеството лични данни. Въпросът дали с уведомлението от 10.03.2025г. ответникът е предоставил заявената от жалбоподателя информация, третира съществото на спора. Тоест в случая предметът на настоящото производството не е обжалване на мълчалив отказа, а на изричен отказ, който е оспорен в предвидения по чл. 149, ал. 1 АПК срок за обжалване, поради което жалбата като подадена от лице с правен интерес, срещу административен акт, подлежащ на съдебен контрол, се явява процесуално допустима.

ІІІ. Фактите по делото:

5. На 10.02.2025г. М. В. Г. подал искане до „Аксес Файнанс“ АД на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството й на субект, на когото се обработват лични данни, да й бъдат предоставени копия от Договори за парични заеми, сключен между нея и „Аксес Файнанс“ АД в периода 22.01.2022 г. до 22.01.2025 г. Претенцията била мотивирана с това, че тези договори съдържат лични данни на кредитополучателя и те се обработват на основание сключеното облигационно правоотношение. Изрично в искането били посочено и желанието да бъдат предоставени и копия от тези договори, а алтернативно на основание чл. 20 от Регламент (ЕС) 2016/679, в случай че не може да се предостави тази информация, то това да бъде сторено на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит и да се предоставят всички договори за потребителски кредит за искания период, ведно с разбивка на заплатеното по тях.

6. До заявителя било изпратено уведомление от „Аксес Файнанс“ АД с изх. № 107/10.03.2025г., в което е посочено, че дружеството е финансова институция, вписана в регистъра на БНБ за финансовите институции по чл.3а ал.1 от Закона за кредитните институции с рег. № BGR00332 и предлага парични заеми със средства, които не са набрани чрез публично привличане на влогове или други, позволени съгласно чл.3 от Закона за кредитните институции. Дружеството обработва личните данни на Г. от договор за кредит на основание сключване и изпълнение на договора, на законово основание във вр. със задълженията му по Закона за мерките срещу изпиране на пари, ДОПК и др. Налице е и съгласие на лицето в тази насока. Описани са целите на обработването на личните данни от договора за кредит, както и категориите лични данни. С цел удовлетворяване правото на достъп до данните по чл.15 ал.3 от Регламент /ЕС/ 2016/679 за защита на личните данни, на заявителя е предоставено Удостоверение относно предоставянето на личните данни, които дружеството обработва за Г., което удостоверение е част от съдържанието на уведомлението. Ведно с това е изготвено Приложение № 1 към удостоверението от 10.03.2025г., съдържащо извлечение от база данни и извлечение от документи, които съдържат личните данни, обработвани от Администратора /съгласно Решение по дело С-369/23 на СЕС/. С удостоверението и приложението са изпратени и извадки от Договор за кредит „Бяла карта“ /потребителски/ - за предоставяне на кредитополучателя револвиращ кредит, както и рамков договор за издаване и предоставяне на платежна карта Бяла карта от 06.12.2023г., ведно с копие от личната карта на Г..

Според съдържанието на представените документи, между Г. и „Аксес Файнанс“ АД е сключен Договор за кредит „Бяла карта“ на дата 16.12.2023г. Във връзка с подписването на договора и предоставянето на екземпляр на кредитополучателя в хода на съдебното производство е ангажирана товарителница № 1054544556553 от 11.12.2023г., според която М. В. Г. е върнала, след изпълнено указание по пратка № 1054542067877, декларация и документи на „Аксес Файнанс“ АД.

IV. От правна страна:

7. Между страните не се формира спор по обстоятелството, че жалбоподателят е отправил искане до „Аксес Файнанс“ АД, с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договори за кредит. Не се спори и по факта, че освен информацията за обработваните лични данни в искането е било заявено и изрично желание на лицето за получаване на копия от сключените договори за кредит.

Не се спори и по обстоятелство, че с оглед дейността на „Аксес Файнанс“ АД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Безспорно е също, че между жалбоподателя и „Аксес Файнанс“ АД съществуват облигационни отношения, произтичащи от сключен между страните договор за кредит, във връзка с които жалбоподателят се явява субект, чийто лични данни са обработвани от дружеството-ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните ... ".

Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателя искане до „Аксес Файнанс“ АД има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД, чието съдържание отговаря на поставените от закона изисквания в т. 1 – т. 4 от същата правна норма, в частност като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено предоставянето на копия от сключените договори за кредит.

От съдържанието на уведомление изх. № 107/10.03.2025г. е видно, че за администратора не е имало пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Съгласно чл. 12, § 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/687, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин.

Подаденото от жалбоподателя искане е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679, администраторът е длъжен да предостави копие от личните данни на субекта.

Следва да се отбележи, че копието на лични данни не винаги се отъждествява с копие от документа, в който се съдържат тези данни. Разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по см. на чл. 15, § 1 от Регламент 2016/679.

В т.1 от диспозитива на решение на СЕС от 26.10.2023г. по дело С-307/22 е посочено, че член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че:администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент.

В случая се ангажират доказателства, че на жалбоподателя на 08.12.2023г. е било предоставяно първо копие от документите, съдържащи личните му данни (информация по см. на чл.4, §15 ОРЗД). Това обстоятелство не се отрича от Г..

От представеното към уведомление изх. № 107/10.03.2025г. Приложение № 1 се установява, че личните данни на жалбоподателя са в процес на обработка към датата на иницииране на производството пред администратора на лични данни. Жалбоподателят е уведомен подробно за целите и основанията на обработване; категориите данни; получателите; трети лица и трансфери на данните и срок за съхранението им. Също така с уведомлението са представени и копия от документите, съдържащи обработваните лични данни в това число – лична карта и извадки от договора за кредит и рамков договор, в частите които съдържат личните данни на жалбоподателя.

Жалбоподателят не доказва и не твърди да е страна по други договори за кредит, сключени с „Аксес Файнанс“ АД, освен тези, които са посочени в уведомление изх. № 107/10.03.2025г.

При това положение се обосновава изводът, че „Аксес Файнанс“ АД, в качеството му на администратор на лични данни, е изпълнило законосъобразно, пълно и точно задължението си по чл. 15, § 3 Регламент 2016/679 да предостави на субекта на данните - М. В. Г., копие от поисканите лични данни, съдържащи се в сключените договори за кредит в периода 22.01.2022 г. до 22.01.2025 г., в заявената форма за получаване на посочения от лицето адрес за кореспонденция.

Извън горното, в случай че жалбоподателят цели добиване на информация за параметрите на кредита (размер на вноски, лихви, проценти и такси), следва да се посочи, че същият като страна по договорите има право на достъп и до тази информация, което право не се конкурира с правото му по ЗЗЛД и Регламент 2016/679 за достъп до съдържащите се в тях лични данни. Въпреки това тези въпроси остават извън предмета на настоящия съдебен спор, който съобразно премета на жалбата е насочен единствено по твърдението за отказ за предоставяне на данни и копия от документи на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679.

Предоставените от администратора копия от сключените договори за кредит само в частите, съдържащо лични данни, не преграждат възможността на жалбоподателя да упражни правата, които му предоставя чл. 15 от Регламент 2016/679. В този смисъл ответникът е осигурил възможност на жалбоподателя да реализира и "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. С оспореното уведомление е обезпечено правото на жалбоподателя по чл. 8, параграф 2 Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

След като жалбоподателят е получил първоначално екземпляри от сключените договори в цялост, предоставянето им в частичен вид с оглед реализирането на правата му по чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 не се явява в противоречие с целта и смисъла на закона. Иначе казано, след като ответникът е изпълнил задължението си за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, под формата на сключените договори за кредит, за него в качеството на администратор на тези данни не седи задължение да предоставя повторно тези договори в цялост и съдържание, което няма отношение към упражняване на правата по чл. 15 от Регламент 2016/679.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че оспореният административен акт е издаден в съответствие с материалноправните разпоредби и целта на закона, поради което подадената срещу него жалба се явява неоснователна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителни указания по тълкуването и прилагането на закона.

V. По съдебните разноски:

8. Ответникът не е отправил претенция за присъждане на съдебни разноски, поради което произнасяне в тази насока не се дължи. Ето защо, Съдът

 

Р Е Ш И:

 

ОТХВЪРЛЯ жалбата на М. В. Г., [ЕГН], адрес: гр. Пловдив, [улица], ет. 5, ап. 12, чрез адвокат С. П., срещу мълчалив отказ на „Аксес Файнанс“ ООД и уведомление от „Аксес Файнанс“ АД с изх. № 107/10.03.2025г. за предоставяне на информация за обработваните лични данни, ведно с копия на носителите на тези лични данни, по молба рег. № 107/10.02.2025г.

Решението подлежи на обжалване с касационна жалба пред Върховния административен съд на Република България в четиринадесетдневен срок от съобщаването на страните за неговото постановяване.