Решение по адм. дело №283/2025 на Административен съд - Сливен

Производството е по реда на чл. 145 и сл. от АПК във вр. с чл. 39, ал. 1 от ЗЗЛД.

Образувано по жалба от И. Х. Б. от [населено място], [община], подадена чрез пълномощник - адв. П. П. САК, против мълчалив отказ, формиран от длъжностно лице по защита на личните данни на „Фератум България“ ЕООД гр. София, по заявление, изпратено на електронен адрес на дружеството на 25.03.2025 г., с което И. Х. Б. иска „Фератум България“ ЕООД гр. София, в качеството му на администратор на лични данни, да му предостави копие на сключен договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор, от която да е видно в какъв размер и на кои дати са постъпили погашения по договора, както и за погашения по кои компоненти от съответния договор са използвани от кредитора заплатените суми.

С представяне на административната преписка съдът констатира, че заявлението, подадено от И. Б. на 25.03.2025 г., е получено от „Фератум България“ ЕООД гр. София на 15.04.2025г. /л.8 гръб и л.9 от делото/, а до оспорващия е бил изготвен отговор /л.46 от делото/, с който частично са предоставени исканите от заявителя данни. Оспорващият с писмото е уведомен, че дружеството обработва неговите лични данни като страна по договор за кредит. Описани са и категориите лични данни, целите на обработката на личните данни, категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение и правата на субекта на лични данни. По искането на Б. за предоставяне на копие от сключения договор за кредит, ведно със съпътстващите договора документи и направените плащания и погашения по него, в писмото - отговор не се съдържа изрично изявление, а само е посочено, че ако лицето се нуждае от допълнителна информация относно личните данни и дейностите по обработване, следва да бъде подадено допълнително искане в писмен вид до длъжностното лице по защита на данните на съответния ел. адрес, като се посочи каква информация е необходима. /л.48/. По делото липсват данни писмото-отговор да е получено от пълномощника на оспорващия.

В тази хипотеза и с оглед заявеното с молба вх. № 2296/18.07.2025 г., с която жалбоподателят заявява изрично, че поддържа жалбата срещу оспорения отказ, съдът приема, че предмет на съдебното производството е формиран мълчалив отказ на „Фератум България“ ЕООД гр. София, в качеството му на администратор на лични данни, да предостави на оспорващия копие на сключен договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор, от която да е видно в какъв размер и на кои дати са постъпили погашения по договора, както и за погашения по кои компоненти от съответния договор са използвани от кредитора заплатените суми.

В жалбата и уточнението към нея оспорващият твърди, че дружеството, в качеството му на администратор на лични данни, отказало да му предостави данни, които обработва - копие на сключен между тях договор за паричен заем, който съдържа негови лични данни и справка за постъпилите погашения по този договор. Счита отказът на дружеството за незаконосъобразен. Позовава се на правото си на достъп по чл. 15, § 3 и чл.20 от Регламент /ЕС/ 2016/679 на ЕП и на Съвета от 27.04.2016г. относно защита на данните /ОРЗД/. Моли съда да бъде отменен отказът и да бъде задължено дружеството да му предостави копие на Договора за кредит, както и информация относно извършените плащания. Алтернативно твърди нищожност на постановения отказ. Претендира разноски.

В съдебно заседание оспорващият не се явява и не се представлява. В писмено становище от пълномощник – адв. П. П. - САК жалбата се поддържа по изложените в същата подробни съображения. Прилага съдебна практика. Претендира разноски и присъждане на адвокатски хонорар. /л.76/

Ответникът по жалбата – дружеството "Фератум България" ООД гр. София, в качеството на администратор на лични данни, не се представлява в с.з. В писмено становище от пълномощници – адв. З. Ч. - САК и от адв. П. Ц. - САК се твърди, че жалбата е недопустима, тъй като заявлението не е изпратено на нарочния електронен адрес на дружеството по ЗЗЛД. Алтернативно сочи, че жалбата е неоснователна, тъй като администраторът на лични данни е изпълнил задължението си по чл. 15 от Регламент 2016/679, като е предоставил безвъзмездно копие на обработваните лични данни в нарочен формуляр. Счита, че няма задължение да предоставя копия от документи, носители на лични данни. /л.26/

При преценка допустимостта на производството съдът намира, че жалбата е подадена от лице, чиято правна сфера е засегната неблагоприятно от постановения мълчалив отказ. Както се отбеляза заявлението, подадено от И. Б. на 25.03.2025 г. е получено от „Фератум България“ ЕООД гр. София на 15.04.2025г. В изготвеният до оспорващия отговор /л.46 от делото/, с който частично са предоставени исканите от заявителя данни не се съдържа изрично волеизявление на „Фератум България“ ЕООД за предоставяне или пък за отказ за предоставяне на копие от сключения договор за кредит, ведно с информация за извършените плащания по договор за кредит, от която да е видно в какъв размер и на кои дати са постъпили погашения по горепосочения договор, както и за погашения по кои компоненти от съответния договор са използвани от кредитора заплатените суми. По делото липсват данни писмото- отговор да е получено от пълномощника на оспорващия. Ето защо съдът приема, че жалбата на И. Б. е депозирана в срок, тъй като заявлението от 25.03.2025г. е входирано във „Фератум България“ ЕООД гр.София на 15.04.2025г., а жалбата до съда е подадена именно като жалба срещу мълчалив отказ на 20.05.2025г. в срока по чл. 149 ал.2 от АПК /л.2/.

Видно от доказателствата по делото – писмо изх.№ ППН-01-886#1/16.06.2025г. на Комисията за защита на личните данни липсват пречки по чл. 39, ал. 4 от ЗЗЛД. /л.71/. Оспореният мълчалив отказ е годен предмет на съдебен контрол по смисъла на чл. 39, ал. 1 от ЗЗЛД. Горното мотивира съда да приеме, че жалбата е допустима.

Съдът, като прецени доказателствата по делото, доводите и възраженията на страните, приема за установено от фактическа страна следното:

На 25.03.2025 г. пълномощникът на жалбоподателя е подал по електронен път заявление до "Фератум България" ЕООД, основано на чл. 15 от Регламент /ЕС/ 2016/679, за достъп до всички лични данни, обработвани от дружеството, както и копия от всички документи, в които се съдържат негови лични данни, с цел установяване наличие на кредитна задлъжнялост спрямо дружеството. Към заявлението е приложено и пълномощно. За изпращането на исканите документи пълномощникът е посочил електронен адрес./л.44/

По повод подаденото заявление, на 15.05.2025 г. от адв. П. било получено електронно съобщение, изпратено от дружеството, с което е предоставена парола за отваряне на прикачени файлове, изпратени по електронна поща. (л.51)

В отговор на горното, пълномощникът на жалбоподателя е изпратил ново електронно съобщение, в което е посочил, че към изпратеното от дружество съобщение няма прикачени файлове, съответно няма отговор, като е помолил същите да бъдат изпратени и приложени. (л.53). По делото няма данни за предприети от страна на "Фератум България" ЕООД последващи действия.

Не се спори по делото, че до момента на подаване на жалбата - 20.05.2025 г., на заявителя фактически не е връчен никакъв акт по искането за достъп до лични данни, като за изготвения отговор (л.46), с който частично са предоставени исканите от заявителя данни, оспорващият е разбрал в хода на съдебното производство. (л.55-57).

Разгледано по същество, оспорването е основателно по следните съображения:

Съгласно чл. 39, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

Съдът приема за безспорен факта, че между жалбоподателя И. Х. Б. и „Фератум България“ ЕООД гр.София, са създадени облигационни отношения, предвид сключен договор за кредит, наличието на който е безспорно, като оспорващият Б. е субект, чийто лични данни са обработвани от дружеството-ответник, съответно има право, като субект на това обработване, на достъп до обработваните от администратора лични данни, съгласно член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Ответникът „Фератум България“ ЕООД гр.София попада в хипотезата на определението по член 4, параграф 7 от Регламент 2016/679, съгласно която "администратор" е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. С оглед процесуалното поведение и на двете страни, както и въз основа на приетото писмо от КЗЛД, съдът приема, че между тях не е налице висящо производство по този спор пред КЗЛД и няма наличие на пречка по смисъла на чл. 39, ал. 4 от ЗЗЛД жалбата да бъде разгледана от съда.

Съгласно член 4, параграф 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице", а съгласно параграф 2 - "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване".

Според член 15, параграф 1 от Регламент 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация. Последната е конкретно посочена в нормата. Текстът по член 15, параграф 3 от Регламент 2016/679 предвижда администраторът да предоставя копие от личните данни, които са в процес на обработване.

В член 5, параграф 1 от Регламент 2016/679 са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват от администраторите и обработващите, като в буква "а" са предвидени принципите законосъобразност, добросъвестност и прозрачност.

Съгласно чл. 37б, ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 37в, ал. 1 от ЗЗЛД предвижда, че заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. С разпоредбата на чл. 37в, ал. 2 от ЗЗЛД е въведено изискването при подаването на заявление от упълномощено лице, към заявлението да се прилага и пълномощното, което е сторено.

В случая оспорващият Б. е депозирал чрез пълномощника си - адв. П. П. САК по електронен път именно писмено заявление по чл. 37б от ЗЗЛД до администратора на лични данни „Фератум България“ ЕООД гр. София, при спазване на посочения в нормата административен ред. Подаденото заявление е в нормативно изискуемата форма откъм реквизити и съдържание, съобразено е с изискванията на чл. 37в от ЗЗЛД, съответно в него е направено описание на искането и то е конкретно, ясно и несъмнено дава пълна представа на адресата каква информация лицето желае да получи, като същото е подадено във връзка с упражняване на правата по член 15 от Регламент (ЕС) 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така, както предвижда член 15, параграф 3 от Регламент (ЕС) 2016/679. Искането е подадено на ел. адрес и независимо, че не е подадено на адреса, предвиден за подаване на заявления по ЗЗЛД, очевидно е, че е било получено от ответната страна. От данните по делото става ясно, че част от така изисканата информация - копие на сключен между И. Б. и „Фератум България“ ЕООД гр.София договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания и погашения по посочения договор, не е била получена от оспорващия, нито има изрично произнасяне по тази част от заявлението, подадено на 25.03.2025г. Страните не твърдят, че има удължаване на срока за отговор по искането, нито се излагат други конкретни съображения в тази насока като брой искания по ЗЗЛД или друга сложност, обосноваваща удължаване. На заявителя фактически не е връчен никакъв акт по искането за достъп до лични данни - копие на сключен между И. Б. и „Фератум България“ ЕООД гр.София договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор, като без значение за делото е причината за това.

Съдът намира, че мълчаливият отказ на ответника да удовлетвори искането на заявителя за предоставяне на копие на сключен между И. Б. и „Фератум България“ ЕООД гр.София договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор, е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. "а" от Регламент (ЕС) 2016/679.

Следва да се отчете, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит, което обстоятелство не е спорно по делото и именно този договор се явява носител на информация за обработваните лични данни по смисъла на член 15 параграф 1 Регламент (ЕС) 2016/679.

Следва да се отбележи, че ако ответникът е счел, че са налице недостатъци в подаденото заявление и същото не отговаря изцяло на изискванията на чл. 37в ал. 2 от ЗЗЛД, то той е следвало да процедира по реда на чл. 12 пар. 2 от Регламент 2016/679 и изпълни вмененото му с тази норма задължение. По делото е безспорно, че "Фератум България“ ЕООД е било сезирано с искане по реда и условията на Глава III от Регламента, по което дружеството като администратор на лични данни не се е произнесло относно информацията за извършваните плащания по посочения договор и предоставяне на копие от същия в законовия срок. В Регламента и ЗЗЛД е нормирано задължение на администратора на личните данни, когато лични данни от такъв характер са надлежно поискани по реда на чл. 37б и чл. 37в от ЗЗЛД, да бъдат предоставени, а ако са налице предпоставките за отказ от предоставяне, конкретно посочени в чл. 37а ал. 1 от ЗЗЛД, администраторът или обработващият лични данни е следвало изрично да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от Регламент (ЕС) 2016/679, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

Освен това, ако ответникът, като адресат на заявлението, е считал, че са налице недостатъци в подаденото заявление, то той е следвало да процедира по реда на чл.12§ 2 от Регламент 2016/679 - „Администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните“. В случая несъмнено е възможна идентификация на подателя на заявлението, поради което дори и последното да не е отговаряло изцяло на изискванията на чл.37в, ал.1, т.3 от ЗЗЛД, то администраторът е обвързан от задължението си по чл.12, §2 ОРЗД. А съгласно чл.12, §4 от Регламент 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по заявлението изрично /дори когато не предприема действия по него/, което в случая не е сторено от дружеството – ответник по отношение на исканите данни - копие на сключен между И. Б. и „Фератум България“ ЕООД гр.София договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор.

Отделно от изложеното съдът намира, че субектът на данни има правото на достъп, в това число правото да получи копията от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

В подкрепа на горното са разпоредбите на член 12 от Регламент (ЕС) 2016/679. Според параграф 1 на член 12 от Регламент (ЕС) 2016/679, "администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства", а с член 12, параграф 2 от Регламент (ЕС) 2016/679 е вменено задължение на администратора на лични данни да "съдейства за упражняването на правата на субекта на данните по членове 15 – 22. ".

Съгласно приетото в практиката на СЕС правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС от 04.05.2023 г., постановено по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни.

С оглед възникналите между оспорващия и ответника взаимоотношения, с мълчаливия отказ на администратора на лични данни да му предостави копие от сключения между него и дружеството ответник договор за кредит, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя и член 14 от Регламент (ЕС) 2016/679 в пълната и желана от субекта на данни степен. Така лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. От друга страна, дори копие от въпросния договор за кредит да е на разположение на оспорващия, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения.

Така съдът приема, че ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е била поставена и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така, че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламент (ЕС) 2016/679. Оспореният мълчалив отказ възпрепятства жалбоподателя да се възползва и от правото му по член 8, параграф 2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

В този смисъл жалбата се явява основателна, а оспореният мълчалив отказ е незаконосъобразен и следва да бъде отменен, като преписката се върне на администратора на лични данни за изрично произнасяне по заявлението в цялост, при съобразяване с дадените указания по тълкуването и прилагането на закона.

При този изход на делото ответната страна следва да заплати направените по делото разноски - 10,00 лева за държавна такса, направени от оспорващия, както и минимално предвиденото за възнаграждение по Наредба № 1 от 09.07.2004 г. за възнаграждения за адвокатска работа, доколкото представителството в настоящото производство се осъществява на основание чл. 38, ал. 1, т. 2 от ЗАдв и е представен по делото Договор за правна защита и съдействие от 20.05.2025 г. Обстоятелството, че възложителят е материално затруднено лице, не се нуждае от доказване, а основанието е изрично посочено в договора, поради което от ответника следва да се заплати адвокатското възнаграждение на адв. П. П. САК в размер на 900,00 лева съобразно разпоредбата на чл. 8, ал. 2, т. 10 от Наредба № 1 от 09.07.2004 г. за възнаграждения за адвокатска работа.

Мотивиран така и на основание чл. 172, ал. 2 от АПК, Административен съд [област]

 

Р Е Ш И:

 

ОТМЕНЯ по жалба на И. Х. Б. мълчалив отказ, формиран от длъжностно лице по защита на личните данни на „Фератум България“ ЕООД гр. София, по заявление изпратено на електронен адрес на дружеството на 25.03.2025 г., да предостави, в качеството му на администратор на лични данни, поисканите от оспорващия документи - копие на сключен договор за паричен заем, който съдържа негови лични данни и информация за извършваните плащания по посочения договор, от която да е видно в какъв размер и на кои дати са постъпили погашения по договора, както и за погашения по кои компоненти от съответния договор са използвани от кредитора заплатените суми, като незаконосъобразен.

ВРЪЩА преписката на „Фератум България“ ЕООД гр. София за произнасяне по подаденото от И. Х. заявление от 25.03.2025 г., при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, като на основание чл. 174 от АПК определя 14-дневен срок от влизане в сила на съдебното решение.

ОСЪЖДА „Фератум България“ ЕООД гр. София, район „М.“, [жк], [улица], вх. ... ет...., ап. офис ... с ЕИК *********, да заплати на И. Х. Б. от [населено място], [община], [улица], с [ЕГН] направените разноски по делото в размер на 10,00 /десет/ лева.

ОСЪЖДА „Фератум България“ ЕООД гр. София, район „М.“, [жк], [улица], вх. ... ет...., ап. офис ... с ЕИК *********, да заплати на адв. П. С. П. от Адвокатска колегия гр. София БУЛСТАТ *********, сумата от 900,00 /деветстотин/ лева, представляваща адвокатско възнаграждение за осъществена безплатно адвокатска помощ и съдействие, на основание чл. 38, ал. 1, т. 2 от Закон за адвокатурата.

Решението подлежи на касационно обжалване пред ВАС в 14-дневен срок от съобщаването му.

Решението да се съобщи на страните.