Решение по адм. дело №1196/2025 на Административен съд - Хасково

Производството е по реда на чл.145 и сл. от АПК във вр. с чл.39, ал.1 от Закон за защита на личните данни и е образувано по жалба на С. М. М. от [населено място], обл.Х., подадена чрез упълномощен представител, срещу Отказ от 15.05.2025г. на АД София Комерс Кредит Груп – София, длъжностно лице по защита на личните данни, да уважи упражнено право по чл.15 от Регламент (ЕС) 2016/679 по искане на оспорващия от 22.04.2025г. В жалбата се твърди, че от справка от Централния кредитен регистър към БНБ било установено, че жалбоподателят има регистрирани задължения към дружеството в размер на 158,00 лева. Но били изплатени повече суми, отколкото следвало по договор, и в същата справка продължавали да са посочени дължими суми, незаконосъобразно определени/увеличени без знанието на длъжника. На 22.04.2025г. чрез представляващия оспорващия било изпратено ел.съобщение до ел.поща на дружеството. В отговора от 15.05.2025г. дружеството твърди, че не обработва лични данни, тъй като между оспорващия и дружеството няма действащи договорни отношения, но пък било посочено, че се обработват личните данни във връзка с предходно договорно правоотношение. От отговора не било ясно дали договорното правоотношение било прекратено поради прехвърлянето на вземането на друго лице или поради изплащане на задължението. Документите на страните по отношението следвало да бъдат съхранявани най-малко 5 години, а последният запис в справката от ЦКР бил от месец юли 2021г., т.е. петте години не били изтекли. Целта на подадено заявление било да се изясни правното положение на оспорващия и да се проследи веригата на кредитори. Излагат се правни съображения по Регламент (ЕС) 2016/679, както и практика на СЕС и ВАС. Сочи се, че дружеството извършило нарушение и не уважило правото на достъп до лични данни на оспорващия, а в представения отговор не се покривало изискването на чл.15, ал.3 от Регламента, като оспорващият следвало да получи копие от документите, които се съдържали в кредитното досие, поддържано и съхранявано при дружеството. Иска от съда да отмени изричния отказ, а ответното дружество чрез администратора на лични данни да бъде задължено да предостави копия от всички документи, съдържащи лични данни на С. М., включително, но не само договора за кредит, договор за цесия и други документи от кредитното му досие, като бъдат заплатени и разноските по делото.

Ответната страна счита жалбата за недопустима и неоснователна. Липсвал правен интерес, тъй като били представени всички данни, които били обработвани. Към момента между дружеството и жалбоподателя нямало действащи договорни правоотношения и не се обработвали лични данни, а аргументите относно прехвърляне на вземането на трето лице били неотносими в случая. Дори допустима, жалбата била неоснователна, тъй като изложените аргументи били от гражданскоправно естество. В случая по запитването на жалбоподателя била изпратена информация относно всички данни, които са обработвани, когато е имало действащ договор, а с представянето на тази информация дружеството изпълнило задължението си. Н случая било приложимо Решение на Съда на ЕС от 04.05.2023г. по дело С-487/21, постановено по преюдициално запитване относно думата „копие“ по смисъла на чл.15, пар.3 от Регламент /ЕС/ 2016/687. В случая било предоставено копие от конкретните лични данни, т.е. точна реплика на тези данни, а нямало задължение да се представя самия договор за кредит, нито приложенията към него, които дори не съдържали лични данни. Така производството по делото следвало да бъде прекратено или жалбата да бъде отхвърлена, като се претендират направените по делото разноски и се възразява относно съществуването на предпоставките за предоставяне на безплатна адвокатска помощ по чл.38 от ЗА, както и по размера на възнаграждението като прекомерен.

Съдът, като прецени доказателствата по делото, доводите и възраженията на страните, приема за установено от фактическа страна следното:

На 22.04.2025г. жалбоподателя С. М., чрез пълномощник, подал по електронен път заявление до АД София Комерс Кредит Груп – София, с което поискал да бъде предоставен достъп до всички лични данни, които били обработвани от администратора, като бъдат предоставени копия от всички документи, в които се съдържали лични данни – не само договора за кредит, договора за цесия и други. В заявлението се посочва, че искането се прави с оглед проверка на законността на обработването на лични данни и множеството СМС, които били изпращани до телефонния номер на [населено място]. За изпращането на исканите документи е посочил електронен адрес.

С писмо, подписано от представляващ ответното дружество с ел.подпис на 15.05.2025г., е уведомен [населено място], че дружеството не обработва лични данни на М. към настоящия момент, тъй като между страните няма действащи договорни правоотношения. Посочват лични данни, с които разполагат във връзка с „предходно“ договорно правоотношение. Изрично сочат, че копие от лични данни не е тъждествено с предоставяне на копие на документите/носителите, в които се съдържат. Искат заявителят да представи доказателства за твърдението си, че са изпращани СМС, тъй като в тяхната система няма отразени такива.

Видно от представената от оспорващия справка за кредитна задлъжнялост кредиторът АД София Комерс Кредит Груп е посочен като такъв по договор със [населено място] за просрочие за периода от 30.11.2020г. до 31.10.2021г., като няма данни за дата на сключване на договора.

Жалбата срещу отказа в посоченото писмо е подадена чрез ССЕВ на 28.05.2025г. до Административен съд Хасково.

При така установеното от фактическа страна, се налагат следните правни изводи:

Съгласно чл.39, ал.1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В случая отказът е подписан от представляващия дружеството, изпълняващ длъжността изпълнителен директор.

Съдът приема за безспорен факта, че между жалбоподателя [населено място] и АД София Комерс Кредит Груп – София, има създадени облигационни отношения, предвид сключен договор за кредит, наличието на който е безспорно, като оспорващият е субект, чийто лични данни са обработвани от дружеството, и съответно има право, като субект на това обработване, на достъп до обработваните от администратора лични данни, съгласно член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Съответно ответникът АД София Комерс Кредит Груп – София, попада в хипотезата на определението по член 4, параграф 7 от Регламент 2016/679, съгласно която „администратор“ е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

С оглед процесуалното поведение и на двете страни, съдът приема, че между тях не е налице висящо производство по този спор пред КЗЛД и няма наличие на пречка по смисъла на чл.39, ал.4 от ЗЗЛД жалбата да бъде разгледана от съда.

В този смисъл оспорването, като направено от легитимирано лице с правен интерес, и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, е процесуално допустимо. След преценка становищата на страните и съдържанието на заявлението с искане за предоставяне на лични данни, както и постановения във връзка с него отговор, инкорпориран в писмо от 15.05.2025г., съдът приема, че последното не съдържа исканата информация, тъй като не са предоставени изисканите със заявлението копия/екземпляри от документи, поради което следва да се приеме, че правната сфера на жалбоподателя е непосредствено засегната и за него е налице правен интерес от оспорване.

Разгледано по същество, оспорването е основателно.

Съгласно член 4, параграф 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“, а съгласно параграф 2 - „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

Според член 15, параграф 1 от Регламент 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация. Последната е конкретно посочена в нормата. Текстът по член 15, параграф 3 от Регламент 2016/679 предвижда администраторът да предоставя копие от личните данни, които са в процес на обработване.

В член 5, параграф 1 от Регламент 2016/679 са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват от администраторите и обработващите, като в буква „а“ са предвидени принципите законосъобразност, добросъвестност и прозрачност.

Съгласно чл.37б, ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл.37в, ал.1 от ЗЗЛД предвижда, че заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл.15 – 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. С разпоредбата на чл.37в, ал.2 от ЗЗЛД е въведено изискването при подаването на заявление от упълномощено лице, към заявлението да се прилага и пълномощното.

В случая жалбоподателят е направил по електронен път именно писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни АД София Комерс Кредит Груп – София, при спазване на посочения в нормата административен ред. Подаденото заявление е в нормативно изискуемата форма откъм реквизити и съдържание, и е съобразено с изискванията на чл.37в от ЗЗЛД, съответно в него е направено описание на искането и то е конкретно, ясно и несъмнено дава пълна представа на адресата каква информация лицето желае да получи, като същото е подадено във връзка с упражняване на правата по член 15 от Регламент (ЕС) 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така, както предвижда член 15, параграф 3 от Регламент (ЕС) 2016/679. Искането е подадено на ел.адрес, които е посочен от самия ответник, както и не е спорно, че е било получено от ответната страна. От данните по делото става ясно, че изисканата информация в цялост не е била получена от оспорващия. Страните не твърдят, че има удължаване на срока за отговор по искането, нито се излагат други конкретни съображения в тази насока като брой искания по ЗЗЛД или друга сложност, обосноваваща удължаване. На заявителя е връчен акт – отказ по искането за достъп до лични данни, в частта на предоставяне на копие от документи, поради което и съдът не възприема позицията на ответното дружество, че жалбата е процесуално недопустима. При липсата на спор относно съществуване на сключен между страните договор и липса на конкретни твърдения за изпълнение или прекратяване на договорните отношения на друго основание не може да бъде споделено твърдението на ответната страна, че между страните няма „действащи“ договорни отношения и не се обработват личните данни на жалбоподателя. Още повече, че няма и данни жалбоподателя да е уведомен, че не се обработват лични данни, нито че документите не съдържат лични данни.

Съдът намира, че отказът на ответника да удовлетвори изцяло искането на заявителя е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. „а“ от Регламент (ЕС) 2016/679.

Следва да се отчете, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит, което обстоятелство не е спорно по делото и именно този договор се явява носител на информация за обработваните лични данни по смисъла на член 15 параграф 1 Регламент (ЕС) 2016/679.

Ето защо настоящата инстанция приема, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

В подкрепа на горното са разпоредбите на член 12 от Регламент (ЕС) 2016/679. Според параграф 1 на член 12 от Регламент (ЕС) 2016/679, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а с член 12, параграф 2 от Регламент (ЕС) 2016/679 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“.

Съгласно приетото в практиката на СЕС правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС от 04.05.2023г., постановено по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни.

С оглед възникналите между оспорващия и ответника взаимоотношения, с отказа на администратора на лични данни да предостави копие от сключения между нея и дружеството ответник договор за кредит, както и всички други документи, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя и член 14 от Регламент (ЕС) 2016/679 в пълната и желана от субекта на данни степен. Така лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. От друга страна, дори копие от въпросния договор за кредит да е на разположение на оспорващия, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения.

Така съдът приема, че ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което се предоставя с чл.8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така, че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламент (ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото по член 8, параграф 2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

В този смисъл жалбата се явява основателна, а оспореният отговор с отказ да се предоставят копия от документи е незаконосъобразен и следва да бъде отменен, като преписката се върне на администратора на лични данни за произнасяне по заявлението в цялост, при съобразяване с дадените указания по тълкуването и прилагането на закона.

При извода за основателност на жалбата ответната страна следва да заплати направените по делото разноски - 10,00 лева за държавна такса, както и минимално предвиденото за възнаграждение по Наредба №1 от 09.07.2004г. за възнаграждения за адвокатска работа, доколкото представителството в настоящото производство се осъществява на основание чл.38, ал.1, т.2 от ЗАдв и е представен по делото Договор за правна защита и съдействие от 26.05.2025г. Оспорената връзка между адвоката и представлявания като негово близко лице не се нуждае от доказване от страна на оспорващия, а ответната страна, доколкото въвежда различни твърдения, то следва да представи доказателства в подкрепата им. Основанието чл.38, ал.1, т.2 от ЗАдв е изрично посочено в договора, поради което от ответника следва да се заплати адвокатското възнаграждение в размер на 900,00 лева съобразно разпоредбата на чл.8, ал.2, т.10 от Наредба №1 от 09.07.2004г. за възнаграждения за адвокатска работа. В случая обаче следва да бъде отчетено и възражението за прекомерност - производството не е от практическа и правна сложност, приключило в две проведени съдебни заседания, без явяване на представляващия и без да са събирани допълнителни доказателства, като допълнително ангажиране на доказателства е с цел представяне на четими представени вече такива и изясняване компетентността на издателя на акта при изпълнение разпоредено от съда. Така съдът счита, че на адв. Ц. Ц. следва да се присъди адвокатско възнаграждение в размер на 700,00 лева, като се отчитат постановките на решение на СЕС от 25.01.2024 г. по дело С438/22 и че съдът не е обвързан императивно с фиксираните в Наредба № 1/09.07.2004 г. за минималните размери на адвокатските възнаграждения минимални размери на адвокатското възнаграждение.

Мотивиран така и на основание чл.172, ал.2 от АПК, съдът

РЕШИ:

ОТМЕНЯ по жалба на С. М. М., [ЕГН], Отказ, формиран от длъжностно лице на АД София Комерс Кредит Груп – София, на 15.05.2025г., по изпратено искане на електронен адрес на дружеството на 22.04.2025г., да предостави в качеството му на администратор на лични данни поисканите от оспорващия копия от всички документи, в които се съдържат негови лични данни, включително, но не само договор за кредит, договор за цесия и други.

ВРЪЩА преписката на АД София Комерс Кредит Груп – София, [ЕИК], за произнасяне изцяло по подадената от С. М. М. молба от 22.04.2025г., при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, като на основание чл.174 от АПК определя 14-дневен срок от влизане в сила на съдебното решение.

ОСЪЖДА АД София Комерс Кредит Груп – София, [ЕИК], да заплати на С. М. М., [ЕГН], направените разноски по делото в размер на 10,00 лева.

ОСЪЖДА АД София Комерс Кредит Груп – София, [ЕИК], да заплати на адв.Т. Ц. от Адвокатска колегия София сумата от 700,00 лева, представляваща адвокатско възнаграждение за осъществена безплатно адвокатска помощ и съдействие на основание чл.38, ал.1, т.2 от Закон за адвокатурата.

Решението може да бъде обжалвано пред ВАС в 14-дневен срок от съобщаването му.