РЕШЕНИЕ
№556
30.06.2023 г. гр.Хасково
В ИМЕТО НА НАРОДА
АДМИНИСТРАТИВЕН СЪД – ХАСКОВО в открито съдебно заседание на тринадесети юни две хиляди и двадесет и трета година в състав:
СЪДИЯ: ЦВЕТОМИРА ДИМИТРОВА
Секретар: Йорданка Попова…………………………………………………………..…...
Прокурор: ………………………………………………………………….….……………..
като разгледа докладваното от съдия Димитрова административно дело №1200 по описа на съда за 2022 година, за да се произнесе, взе предвид следното:
Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс (АПК), във вр. с чл.39, ал.1 от Закона за защита на личните данни (ЗЗЛД).
Образувано е по жалба от Х.Х.П. ***, подадена чрез пълномощника му адв. М.М., против Мълчалив отказ на „Сити Кеш“ ООД, ЕИК*********, в качеството му на администратор на лични данни, сформиран по заявление от 08.11.2022г. на жалбоподателя.
В жалбата се сочи, че на 08.11.2022г. пълномощникът на П. изпратил чрез електронна поща заявление/искане към „Сити Кеш“ ООД, на основание чл.15 и чл.20 от Регламент (ЕС) 679 от 2016г. на Европейския Парламент и на Съвета, в качеството на П. на субект, на когото се обработват личните данни. Със същото поискал да му се предостави информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване. Поискал да се предоставят данните за периода 27.05.2017г. – 08.11.2022г. Поискано било също, в случай, че има сключени договори за заем между страните, последните документи да се предоставят на П., за да се извърши проверка на обработваните данни. В законовия срок не бил получен никакъв отговор от страна на дружеството. В тази връзка било счетено, че се отказва предоставяне на въпросната информация, като за П. възниквал правен интерес на основание чл.38 ал.3 от ЗЗЛД да подаде жалба. В жалбата се излагат подробни доводи в насока незаконосъобразност на мълчаливия отказ за предоставяне на исканата информация. Моли се да бъде постановено решение, с което да се обяви мълчаливия отказ на „Сити Кеш“ ООД за незаконосъобразен и да бъде задължено дружеството да предостави на оспорващия информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване за периода 27.05.2017г. – 08.11.2022г., а в случай, че има сключени договори за заем между страните, се моли да бъде задължено дружеството да предостави въпросните документи на П., за да се извърши проверка на обработваните данни.
В допълнително подадена чрез пълномощник писмена молба се моли да бъде уважена жалбата. Претендират се разноски по делото.
Ответникът по жалбата – „Сити Кеш“ ООД, в подадена чрез процесуален представител писмена молба сочи, че не е постъпвало искане от Х.Х.П. за предоставяне на информация относно обработването на лични данни, включително на посочените от него имейл адреси. Поради това такава информация не била предоставяна нито лично на клиента, нито на негов представител или друго трето лице. Предвид, че администраторът на лични данни не бил сезиран с подобно искане от страна на жалбоподателя, в конкретния случай не можело да е налице незаконосъобразен отказ от предоставяне на лични данни. Излагат се и допълнителни съображения. Прави се възражение за прекомерност за претендираното от жалбоподателя адвокатско възнаграждение.
Административен съд - Хасково, след като обсъди събраните по делото доказателства поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното:
От събраните по делото доказателства съдът приема за установено, че на 08.11.2022г. вторник в 17:05 от ел. поща на адв. М.М. ******.bg е изпратен имейл до два имейл адреса, ползвани от „Сити Кеш“ ООД - dpo@citycash.bg и ******@********.**, като към изпратения имейл е имало прикачени искане и пълномощно. Искането е било подписано с електронен подпис на М.М., който по време на изпращане на имейла е бил валиден. Посоченото писмо с прикачените към него два файла е постъпило в пощенските кутии на дружеството „Сити Кеш“ ООД на същата дата, на която е изпратено – 08.11.2022г.
Видно от представеното по делото заключение, изготвено по назначена и изслушана съдебно-техническа експертиза, на 08.11.2022г. на електронните адреси, ползвани от „Сити Кеш“ ООД, гр. София, е изпратено електронно писмо от .kantora@***.bg. Писмото съдържа два прикачени файла – Искане и Пълномощно. Искането е подписано с валиден КЕП на адвокат М.М.. Пълномощно, с което Х.Х.П., ЕГН ********** упълномощава адв. М. М. е подписано ръчно. На същата дата писмото е постъпило на електронните адреси на ответника. Потвърждение за полученото писмо не е изпращано от ответника.
От разпечатаните от вещото лице на хартиен носител ел. писмо с два броя прикачени файла, е видно съдържанието на прикачения файл към писмото от 08.11.2022г.– „Искане“. Същото е адресирано до „Сити Кеш“ ООД с ЕИК*********, представлявано от Н. П. П. – управител, в качеството си на „Кредитор“ и „Администратор на лични данни“, както и до Длъжностното лице по защита на данните на „Сити Кеш“ ООД с ЕИК********* – Г.И.. С искането, подадено от Х.Х.П., чрез адв. М.М., се моли, на основание чл.15 и чл.20 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета, „Сити Кеш“ ООД, в качеството си на администратор на лични данни, да предостави на П. информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване. Моли се да се предоставят данните за периода 27.05.2017г. – 08.11.2022г. В случай, че има сключени договори за заем между страните, се моли въпросните документи да се предоставят на П., за да се извърши проверка на обработваните данни. Моли се за отговор и документите да бъдат предоставени на посочен имейл адрес.
Съдът кредитира заключението изцяло, като изготвено от вещо лице разполагащо с необходимите знания и умения, отговорило пълно и точно на поставените му въпроси и надлежно обосновало същото.
По делото не се представиха доказателства, а и не се твърди да е изпратен отговор във връзка с постъпилото искане.
Жалбата е подадена на 14.12.2022г. по пощата, видно от поставеното върху плика пощенско клеймо.
Съдът, като взе предвид направените в жалбата оплаквания и относимата нормативна уредба, намира от правна страна следното:
Съгласно чл.39 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.
Съдът приема за безспорен факта, че между жалбоподателя Х.Х.П. и „Сити Кеш“ ООД, гр.София са налице облигационни отношения, предвид сключени договори за кредит, наличието на което обстоятелство не е спорно по делото, като оспорващият е субект, чийто лични данни са обработвани от дружеството –ответник, и съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл.15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Съответно ответникът „Сити Кеш“ ООД попада в хипотезата на определението по чл.4 т.7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.
Предвид горното, за дружеството, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от настоящия жалбоподател искане, като с оглед разпоредбата на чл.12 §3 от Регламент 2016/679 информация относно действията, предприети във връзка с искане по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането.
В конкретния случай липсват доказателства, а и не се твърди да е налице изрично произнасяне от страна на дружеството във връзка с подаденото искане. Липсват и данни срокът, регламентиран в чл.12 §3 от Регламент 2016/679, да е удължаван, каквато възможност принципно е допустима, но при спазване на посочените в разпоредбата предпоставки.
Предвид изложеното, непроизнасянето на дружеството в срок до 08.12.2022г. по подаденото от лицето заявление по чл.37б от ЗЗЛД води до извод, че в случая е налице мълчалив отказ по смисъла на чл.58 ал.1 от АПК. Жалбата е подадена на 14.12.2022г. по пощата, видно от поставеното върху плика пощенско клеймо (л.9), т.е. в срока по чл.149 ал.2 от АПК.
Следователно оспорването, като направено в срок и от легитимирано лице с правен интерес, и против мълчалив отказ, подлежащ на съдебно обжалване и контрол за законосъобразност, е процесуално допустимо.
Разгледано по същество, оспорването е основателно.
Според чл.4, параграф 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.
Съгласно чл.4, параграф 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.
В чл.37б, ал.1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл.15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.
В чл.15 от Регламент 2016/679, е предвидено „право на достъп на субекта на данните“, като в параграф 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните …“.
Според чл.15, параграф 3 от Регламент 2016/679, „администраторът предоставя копие от личните данни, които са в процес на обработване.“
В конкретния случай, отправеното от жалбоподателя искане до администратора на лични данни - „Сити Кеш“ ООД, гр. София, несъмнено има характер на заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл.37в от ЗЗЛД. Същото е подадено във връзка с упражняване на правата по чл.15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл.15, параграф 3 от Регламент 2016/679.
От събраните по делото доказателства е видно, че към подаденото по електронен път искане, подписано от адв. М. с валиден електронен подпис, е било приложено пълномощно (в съответствие с изискването на чл.37в ал.2 от ЗЗЛД), с което П. изрично го е упълномощил да го представлява пред „Сити Кеш“ ООД, като упражнява всички негови законови и договорноустановени права, включително да депозира молби, заявления и искания (т.3 от пълномощното - л. 88 от делото).
Следва да се посочи, че ако ответникът (адресат на заявлението) е считал, че са налице недостатъци в подаденото заявление, то той е следвало да процедира по реда на чл.12 § 2 от Регламент 2016/679 – „Администраторът съдейства за упражняването на правата на субекта на данните по членове 15-22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните.“.
В случая несъмнено е възможна идентификация на подателя на искането, поради което дори и последното да не е отговаряло изцяло на изискванията на чл. 37в, ал. 1, т. 3 от ЗЗЛД, то администраторът е обвързан от задължението си по чл. 12, § 2 ОРЗД. А съгласно чл.12, § 4 от Регламент 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по заявлението изрично (дори когато не предприема действия по него), което в случая не е сторено от дружеството – ответник.
Действително копието на лични данни не би следвало да се отъждествява с копие от документи, в каквато насока е било и отправеното от жалбоподателя искане – за копие на личните данни, които са в процес на обработване, но следва да се отчете, че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, което обстоятелство не е спорно по делото и се установява от изявлениятана процесуалния представител на ответника съдържащи се в молба х. № 347/13.01.202г. по делото и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл.15 §1 ОРЗД.
В подкрепа на горното са разпоредбите на чл.12 от Регламент 2016/679. Според параграф 1 на чл.12 от Регламент 2016/679, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а с чл.12, параграф 2 от Регламент 2016/679 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15-22.“
Във връзка с твърденията на ответника по делото, че при сключване на договорите за кредит жалбоподателят е получил екземпляр от тях, следва да се посочи, че в конкретния случай ответникът по делото не опроверга доводите, изложени в жалбата в смисъл, че оспорващият не притежава копие на тези договори. В тази насока не беше проявена процесуална активност, съответно обстоятелството остана неизяснено, което буди съмнение за това дали на жалбоподателя П. действително е било предоставено копие от договорите за кредит.
С оглед възникналите между оспорващия и „Сити Кеш“ ООД взаимоотношения, с отказа (в случая мълчалив) на администратора на лични данни, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя чл.14 от Регламент 2016/679, и по-конкретно това по параграф 1, буква „в“ - правото да се получи информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. Така, субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламент 2016/679.
От друга страна, дори копие от въпросните договори за кредит да е на разположение на оспорващия, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент 2016/679 във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения.
В този смисъл, ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл.8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл.8, параграф 2 Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.
По изложените съображения жалбата се явява основателна, а оспореният мълчалив отказ се явява незаконосъобразен. Поради това, същият следва да бъде отменен и преписката да се върне на администратора на лични данни за произнасяне по заявлението, при съобразяване с дадените указания по тълкуването и прилагането на закона. В тази насока е и константната практика на касационната инстанция.
В настоящето производство се претендира и заплащане на разноски, а именно 10 лева внесена държавна такса за образуване на делото, минималното предвидено за този вид дела по Наредбата за адвокатските възнаграждения, възнаграждение за един адвокат, който е представлявал оспорващия в настоящото производство, на основание чл.38 ал.1 т.2 от ЗА и внесен депозит за вещо лице. Искането е основателно. Разходът от 10 лева, представляващ държавна такса за образуване на делото, е доказан с платежен документ на л.17 от делото и следва да бъде присъден на жалбоподателя. Следва на жалбоподателя да се присъди и внесения в размер на 400.00 лева депозит за вещо лице. В приложения на л.50 от делото договор за правни услуги е посочено, че е предоставена безплатна правна помощ. Правото на адвоката да окаже безплатна адвокатска помощ на лице по чл.38 ал.1, т.2 от ЗА, е установено със закон. Когато в съдебното производство насрещната страна дължи разноски, съгласно чл.38 ал.2 от ЗА адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение, в размер, определен от съда, което възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл.38 ал.1 т. 2 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице, поради което следва да бъде заплатено от ответника адвокатското възнаграждение в размер на 900 лева, определено по реда на чл.8 ал.2 т.10 от Наредба №1/09.07.2014г. за минималните размери на адвокатските възнаграждения.
Водим от горните мотиви и на основание чл.172, ал.2 от АПК, вр. чл.173 ал.2 и чл.174 от АПК, съдът
РЕШИ:
ОТМЕНЯ по жалба на Х.Х.П. ***, Мълчалив отказ на „Сити Кеш“ ООД, ЕИК*********, в качеството му на администратор на лични данни, сформиран по заявление на жалбоподателя от 08.11.2022г.
ВРЪЩА преписката на „Сити Кеш“ ООД, ЕИК********* за произнасяне по подаденото от Х.Х.П. искане от 08.11.2022г., при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, като на основание чл.174 от АПК се определя 14-дневен срок от влизане в сила на съдебното решение.
ОСЪЖДА „Сити Кеш“ ООД, ЕИК*********, гр. София, да заплати на Х.Х.П. ЕГН ********** *** разноски по делото в размер на 410.00 (четиристотин и десет) лева.
ОСЪЖДА „Сити Кеш“ ООД, ЕИК********* гр. София, да заплати на адвокат М.В.М. сумата от 900.00 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на Х.Х.П. безплатно адвокатска помощ и съдействие на основание чл.38 ал.1 т.2 от Закон за адвокатурата.
Решението подлежи на касационно обжалване пред ВАС в 14 –дневен срок от съобщаването му.
СЪДИЯ: