Решение по адм. дело №555/2025 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба от Р. К. Д. с постоянен адрес [населено място], подадена чрез пълномощника й адв. М. М. от Адвокатска колегия – Стара Загора, против изричен отказ от 07.05.2025 год. на длъжностното лице по защита на личните данни при „Сити кеш“ООД, с който на жалбоподателката, по повод отправено от нейна страна писмено заявление за достъп до личните й данни, които е следвало да се предоставят въз основа на влязлото в сила съдебно решение №1303/03.04.2025 год., постановено по адм. дело №7/2025 год. по описа на Административен съд Стара Загора. По повод на подадена молба от страна жалбоподателката от 04.05.2025 год., е предоставена на 05.05.2025 год. непълна информация относно обработваните данни, в резултат на което е депозирана нова молба, с конкретизиране на исканията и посочване, че между страните има поне пет сключени договора. В отговор на повторната молба на 07.05.2025 год. са получени части от първите страници на петте договора, с което се твърдяло, че са изпълнили съдебното решение.

В жалбата и в представеното становище се излагат подробни съображения по повод незаконосъобразността на постановения отказ. Твърди се, че между страните са сключени договори на хартиен носител, в няколко екземпляра, като подписи са полагани на всяка една страница. Ето защо е следвало да се представят всичките пет договора в пълнота, а не само част от първите страници. Така и с оглед непредставянето на изисканите договори за заеми се нарушавали заложените в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета принципи на прозрачност и отчетност при обработката на лични данни, пряко относими към правото за предоставянето на всякаква информация от страна на администратора на личните данни, която информация от своя страна да послужи за извършването на ефективна проверка от страна на субекта за наличието на законосъобразно обработване на личните му данни от администратора. В тази връзка се отрича, че закрепеното в чл.15, §3 от Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета задължение на администратора на лични данни се свежда единствено до предоставянето на копие на личните данни, но не и на конкретните документи, представляващи фактическото основание на което те се обработват и обуславящо целите на обработването. В подкрепа на изложените доводи се сочи съдебна практика в т. ч. и такава на СЕС. От съда се иска отмяна на постановения изричен отказ за предоставяне на носителите на лични данни-договори за заеми за периода от 26.11.2018 год. до 26.11.2024 год., въз основа на които се обработват личните данни на жалбоподателката, както и да бъде задължен ответника в седемдневен срок от влизане в сила на съденото решение да представи исканите документи. Претендират се сторените по делото разноски.

Ответникът по жалбата – „Сити кеш“ООД, чрез пълномощника си по делото – гл. юрисконсулт В., в представения по делото отговор с вх.№4058 от 24.06.2025 год., оспорва жалбата като неоснователна. Изложени са подробни аргументи относно общия регламент за относно защитата на данните и неговите разпоредби, като процесния отказ не може да обуслови личен, пряк и непосредствен интерес от оспорването и относно тълкуването на постановеното решение от Административен съд Стара Загора по адм. дело №7/2025 год.. Направеното тълкуване то жалбоподателката, че следва да бъдат представени в цялост исканите документи, а не само копие от същите, е недопустимо разширяване на материалния обхват на чл.15 и чл.20 от Регламент /ЕС/ 2016/79 и целта на регламента. Ето защо е неоснователно представянето на стандартните европейски формуляри, които не съдържат лични данни, както и тези които не се намират в правната и фактическата сфера на администратора, като платежни нареждания, издавани от и съхранявани в банкови институции. Според изложеното не следва да се предоставят и копията от договори, които не съдържат лични данни. Не следвало решението да се тълкува по начин, който де факто създавал ново материално право, неуредено в регламента, като задължава администратора да предоставя всякакви документи, пои8скани от субекта, дори и когато те не съдържат лични данни, не се намират във владени на администратора или биха засегнали правата на трети лица. Един от договорите вече бил предмет на исково производство по инициатива на жалбоподателката, което дело било приключило. По тази причина повторното му искане в цялост било извън правото й на достъп и на преносимост, и цели извличането на информация с цел последваща употреба извън обхвата на регламент /ЕС/ 2016/79. По тези съображения се иска жалбата да бъде оставена без уважение и претендира юрисконсултско възнаграждение за осъщественото процесуално представителство.

Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна:

На 27.11.2024 год., жалбоподателката Р. К. Д., чрез адвокат М. М., е подала по електронен път до „Сити кеш“ООД искане, подписано с електронен подпис, с което на основание чл.15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Регламент 2016/679/, е поискала от дружеството, в качеството му на администратор на лични данни да й предостави информация, относно това дали личните й данни са обработвани от „Сити кеш“ООД, както и целите на обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване за периода от 26.11.2018 год. до 26.11.2024 год. В допълнение е отправено искане всички носители на въпросните данни /договори, стандартни европейски формуляри и др./ да й бъдат предоставени за да се извърши проверка на обработването. Предоставен е електронен адрес, на който да се изпрати отговорът и документите.

На 23.12.2024 год. на посочения електронен адрес е получено писмо-отговор, с което се потвърждава, че дружеството обработва личните й данни, като копие от данните са съдържат в Приложение №1 към отговора. Посочва се, че данните са от категорията „Обработвани данни“ и „Архивирани данни“, като тези от първата група са свързани със сключен договор за потребителски кредит №1082458, а тези от втората група са във връзка с сключени договори за потребителски кредити, по които към момента жалбоподателката нямала задължения към дружеството. Видно от Приложение №1 конкретните лични данни, обработвани от „Сити Кеш“ ООД, [населено място] са сведени до трите имена на лицето, ЕГН, данни за документа за самоличност и постоянен адрес. Описани са целите на обработката на личните данни, в т. ч. за изпълнение и управление на сключени договори, получателите и категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение, правата на субекта на лични данни, източниците на лични данни, възможността за вземане на автоматизирани решения и др. Отделно внимание е обърнато на отправеното нарочно искане на Д. за осигуряване на достъп до носителите на лични данни, което искане е сведено до „…стандартни европейски формуляри..“, като е посочено, че в този документ не се съдържат лични данни на жалбоподателката, поради което изисканата информация не попадала в обхвата на заявеното право на достъп.

Това писмо е било предмет на съдебен контрол по адм. дело №7/20025 го. по описа на Административен съд Стара Загора, който с решение №1303/03.04.2025 год. е отменил изричният отказ да бъдат предоставени копие от договорите, изискани от Р. Д. и делото е върнато като преписка на „Сити кеш“ООД за ново произнасяне с дадените указания по прилагането на закона. В това решение се съдържат мотиви, че не съществува законова пречка да бъдат искани копия от договорите, като не остават ясни мотивите за постановения отказ. Решението не е било обжалвано и е влязло в сила. Спор относно това решение и влизането му в сила, не съществува спор между страните.

На 04.05.2025 год. е изпратено писмо по ел. поща от Р. Д., чрез адв. М., в която е посочено, че исканата информация във връзка с влязлото в сила решение на Административен съд Стара Загора по адм. дело №7/2025 год. може да бъде изпратена на посочената ел. поща /лист 39 от делото/. На 07.05.2025 год. е изпратен отговор, в който е посочено, че се съдържат извадки от изплатените кредити на Р. К. Д., като предоставения обем от информация и документи съответства на постановения съдебен акт. /лист 40 – 45 от делото/. Именно това писмо е предмет на съдебен контрол в настоящето производство.

Горната фактическа обстановка се установява от представената по делото административна преписка, образувана по повод искането за достъп до лични данни.

Във връзка със служебно изискана от съда информация, по делото е постъпило писмо с изх. №ППН-01-713#1 от 28.05.2025 год. на П. на КЗЛД, в което е удостоверено, че към 27.05.2025 год. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от Р. К. Д. срещу „Сити кеш“ООД.

При така установените по делото факти съдът направи следните правни изводи:

Приложимата към процесния казус нормативна уредба се съдържа в Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, както и в Закона за защита на личните данни.

Съгласно легалното определение на §1, т.1 и т.4 от ДР на ЗЗЛД, по смисъла на този закон „лични данни“ e понятието по чл.4, т.1 от Регламент /ЕС/ 2016/679, а „обработване“ е понятието по чл.4, т.2 от Регламент /ЕС/ 2016/679. Според чл.4, §1 от регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /“субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. §2 на чл.4 от регламента гласи, че „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В §1, т.2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон „администратор“, с изключение на администратора по глава осма, е понятието по чл.4, т.7 от Регламент /ЕС/ 2016/679, а съгласно т.3 от §1 на ДР на ЗЗЛД „обработващ лични данни“ е понятието по чл.4, т.8 от регламента. Съответно според чл.4, §7 и §8 от Регламент /ЕС/ 2016/679 „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.

В чл.15 от Регламент /ЕС/ 2016/679, е предвидено „право на достъп на субекта на данните“, като в §1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните...“. Според чл.15, §3 от Регламент /ЕС/ 2016/679, „администраторът предоставя копие от личните данни, които са в процес на обработване.“ Според чл.12, §3 от Регламент /ЕС/ 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

По допустимостта на жалбата:

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни /чл.38, ал. 1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл. 39, ал. 1 от ЗЗЛД/. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда.

По делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гл. т. на предмет и страни, с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

В случая подаденото от жалбоподателката искане от 27.11.2024 год. представлява заявление по смисъла на чл.37б, ал.1 от ЗЗЛД, съдържащо реквизитите по чл.37в от ЗЗЛД във връзка с упражняване на правата й по смисъла на чл.15 от Регламент /ЕС/ 2016/679, като по същото искане администраторът на лични данни, какъвто безспорно се явява „Сити кеш“ООД, дължи произнесе в срока визиран в специалната разпоредбата на чл.12, §3 от Регламент /ЕС/ 2016/679.

Отказът на ответника да предостави на Р. Д. достъп до конкретните носители на лични данни, т.е. документите, чрез които тези данни се обработват /договори и др. документи/, съгласно писмо от 07.05.2025 год., обуславя наличието на пряк, личен и непосредствен интерес за жалбоподателката, противно на изложеното от страна на ответника становище.

Следователно оспорването, като направено от легитимирано лице с правен интерес и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност съгласно изричната разпоредба на чл. 39, ал. 1 ЗЗЛД, е процесуално допустимо.

Разгледана по същество, жалбата е основателна.

С оглед съвкупната преценка на материалите по делото в т. ч. и направените от страните изявления се установява, че спор по фактите не съществува. Не се отрича нито отправеното от Д. и получено от администратора на лични данни искане за достъп в т. ч. и нарочно искане за предоставяне на документи, съдържащи обработваните лични данни, нито полученият отговор, съдържащ процесния изричен отказ, както и компилацията от лични данни. Спорният въпрос по делото е правен и се свежда до това следва ли в хипотезата на чл.15§3 от Регламент /ЕС/ 2016/679/, администраторът на лични данни „Сити кеш“ООД да предостави на жалбоподателката поисканите от нея носители на лични данни /договори, европейски формуляри и др./, въз основа на които тези данни се обработват или това искане е неоснователно и прекомерно и следва да й бъде отказано съгласно чл.12, пар.5, т.б от регламента.

На първо място следва да се посочи, че видно от съдържанието както на отговора от 07.05.2025 год., така и изготвената справка-компилация, на жалбоподателката е била представена обширна информация за категорията и вида лични данни, които се обработват от администратора. Информацията за целите, за които се обработват личните данни, макар и съдържателно, е представена по-скоро общо, като самите цели съответстват на специфичната стопанска дейност, която извършва ответника – отпускане на кредити, каквито в случая вероятно са налични за Д. или най-малкото са налице възникнали преддоговорни отношения по повод отпускането на такива, т.е. между „Сити кеш“ООД и жалбоподателката са съществували облигационни отношения, предполагащи, а и изискващи обработката на определена категория лични данни, която обработка в случая не се отрича.

Този отговор обаче не съответства на постановеното съдебно решение. След неговото постановяване, администраторът на данни е длъжен по силата на пресъдено нещо да изготви съответния отговор и да предостави исканата информация в обем, съгласно постановеното и влязло в сила съдебно решение. Същият няма възможност на повторна преценка дали исканата информация съответства на целите и разпоредбите на ЗЗЛД и Регламент 2016/679. Касае се за изпълнение на влязло в сила решение, което очевидно в случая не задължава ответника да извърши престъпление, поради което и същото е задължително.

В съдебното решение се съдържат изрично мотиви, че не съществува пречка исканите копия от договори да бъдат предоставени. Необходимо е да се отбележи, че не се съдържат мотиви, копия от договорите да бъдат предоставени единствено и само в частта съдържащи обработваните данни на жалбоподателката.

При така установеното, съдът намира, че постановеният отказ е постановен в противоречие с дадените указания по приложението на материалния закон от страна на Административен съд Стара Загора. Ето защо същият противоречи на влязло в сила съдебно решение, поради което и следва да бъде прогласен за нищожен, а делото се върне на административния орган за ново произнасяне при спазване указанията на съда по тълкуване и прилагане на закона, дадени с решение №1303/03.04.2025 год. постановено по адм. дело №7/2025 год. по описа на Административен съд Стара Загора.

При така установеното не следва да се обсъждат въобще посочените правни основания в писмения отказ и съответствието му с приложимия материален закон, доколкото същият противоречи на дадените указания по прилагането на закона от страна на Административен съд Стара Загора. Ако ответника не е бил съгласен с постановеното решение, е следвало да упражни правото си касационно оспорване, а не при връщането на преписката да извършва ново тълкуване на приложимия материален закон и то тълкуване в противоречие с постановеното съдебно решение.

По изложените съображения оспореният отказ да бъдат предоставени на Р. К. Д. копия на носителите на лични данни – договори и др. документи, въз основа на които се обработват личните й данни, обективиран в писмо 07.05.2025 год. на длъжностното лице по защита на личните данни при „Сити кеш“ООД, се явява нищожен и се следва неговата отмяна.

Предвид изхода на спора, на основание чл.143, ал. 1 от АПК разноски се дължат на жалбоподателя, който е направил своевременно искане за тяхното присъждане. Същите се констатираха в размер на 10.00 лева за платена държавна такса. На основание чл.38, ал.2 от Закона за адвокатурата и предвид представения по делото договор за правна защита и съдействие за оказване на безплатна правна помощ в хипотезата на чл. 38, ал. 1, т. 2 от ЗА от адв. М. на жалбоподателката Р. Д., на оказалия безплатна адвокатска помощ и съдействие адвокат се следва определяне и присъждане на адвокатско възнаграждение. Съгласно чл.8, ал.2, т.10 от Наредба №1 от 09.07.2004 год. за минималните размери на адвокатските възнаграждения, минималният размер на адвокатското възнаграждение по дела по ЗЗЛД, възлиза на 900.00 лева. С оглед направеното от ответника възражение за прекомерност, при съобразяване на мотивите, изложени в Решение на СЕС по дело С-438/2022 год. и възможността на съда да присъди възнаграждение и под минималния размер, определен от наредбата по чл.36, ал.2 от ЗА, в случая, предвид действителната фактическа и правна сложност на делото, разглеждането на което е приключил в едно съдебно заседание; на характера и обема на осъществената от адвоката правна защита, съдът приема, че на адв. М. М. следва да бъде определено адвокатско възнаграждение в размер на 500.00 лева. При присъждане на възнаграждение за оказана безплатна адвокатска помощ и съдействие в полза на адвокат, регистриран по ЗДДС, дължимото възнаграждение съгласно чл. 38, ал. 2 от ЗА във вр. с § 2а от ДР на Наредба №1/2004 год. следва да включва ДДС, поради което на адв. М. се следва присъждане на сумата от 600.00 лева с вкл. ДДС.

Водим от гореизложеното и на основание чл.172 ал. 2, във връзка с чл.173 ал. 2 и чл.174 от АПК, съдът

Р Е Ш И :

ПРОГЛАСЯВА ЗА НИЩОЖНО по жалба на Р. К. Д. с постоянен адрес [населено място], [улица], вх.Б, ет.4, ап. 16, изричен отказ да й бъдат предоставени носителите на лични данни, въз основа на които се обработват данните й, съгласно писмо-отговор от 07.05.2025 год. на управителя на „Сити кеш“ООД.

ВРЪЩА делото като преписка на „Сити кеш“ООД за произнасяне по подаденото от Р. К. Д. искане от 27.11.2024 год., в частта му относно изрично заявеното желание за предоставяне на всички носители на лични данни /договори, стандартни европейски формуляри и др./, въз основа на които се обработват данните й, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение.

На основание чл. 174 от АПК определя 14-дневен срок за произнасяне от влизане в сила на съдебното решение.

ОСЪЖДА „Сити кеш“ООД, [ЕИК], със седалище и адрес на управление [населено място], район Младост, [улица], ет.5, представлявано от управителя Н. П. П., да заплати на Р. К. Д., [ЕГН] с постоянен адрес [населено място], [жк], вх.Г, ет.2, ап.102, сумата от 10.00 лв. /десет/ лева - направени разноски по делото.

ОСЪЖДА „Сити кеш“ООД, [ЕИК], със седалище и адрес на управление [населено място], район Младост, [улица], ет.5, представлявано от управителя Н. П. П. да заплати на Еднолично адвокатско дружество М. с БУЛСТАТ *********, със седалище и адрес на управление [населено място], [улица], ет.5, офис 42, представлявано от адвокат М. В. М., сумата от 600.00 лв. (шестстотин лева) с вкл. ДДС - адвокатско възнаграждение по чл.38, ал.2 от Закона за адвокатурата.

Решението подлежи на касационно обжалване пред ВАС в 14-дневен срок от съобщаването му на страните.