Решение по адм. дело №302/2025 на Административен съд - Видин

Производството е по реда на чл.149,ал.2 от АПК вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Делото е образувано по жалба на Ю. С. Б. от [населено място], чрез адв. Л. Г. от САК, против изричен отказ, обективиран в писмо от 12.08.2025г., за предоставяне на копие от договори за паричен заем, ведно със съпътстващи документи и справка за изплатени суми, съдържащи лични данни по молба до „Неткредит“ ООД, [населено място] от 11.08.2025г.

Иска се да бъде постановено решение, с което да се отмени обжалваният отказ. Посочва се, че молбата до „Неткредит“ ООД представлява заявление по смисъла на чл.37в и сл. от ЗЗЛД и дружеството, като администратор на лични данни е следвало да му предостави исканата информация. В жалбата се навеждат доводи за това, че отказът е незаконосъобразен и противоречи на чл.12, 15-22 от Регламент /ЕС/ 2016/679. Претендират се направените по делото разноски.

Ответниците по жалбата – „Неткредит“ ООД, [населено място], чрез процесуалния си представител, оспорват жалбата. Посочва се, че жалбата е недопустима и искат делото да се прекрати.

Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна:

Видно от доказателствата е, че на 11.08.2025г. Ю. Б. от [населено място], чрез пълномощника си адв. Л. Г. от САК, е подал по електронен път молба до „Неткредит“ ООД, с която е поискал от дружеството да му предостави копия от всички договори за кредит, по които е страна Б., както и справки за извършените плащания по всеки от договорите. В молбата е посочено, че искането се прави с оглед Закона за потребителския кредит и във връзка със специалната закрила по Закона за защита на потребителите. В нея е заявен електронен адрес за изпращането на документите и към нея е приложено пълномощно за адв. Л. Г.. Писмото е подписано с електронен подпис от адв. Г.. Молбата е изпратена на „Неткредит“ ООД на ел. адрес на дружеството.

От приложената преписка се установява, че с писмо от 12.08.2025г. на управителя на дружеството, не се оспорва, че жалбоподателят е бил клиент на дружеството. Посочено е обаче, че искането на Б. за предоставяне на копие от сключените договори за паричен заем не може да му бъде предоставен, поради това, че като страна по всяко договорно правоотношение е получил екземпляр / копие от същия и няма законово основание за дружество „Неткедит“ ООД за повторно предоставяне на копие. В частта относно предоставянето на погасителни планове, справки за извършените плащания и др. документи е счетено, че такива също няма как да му бъдат предоставени, тъй като към момента на искането той няма действащ договор, по който те да са длъжни да му предоставят извлечение. Посочва се също, че на основание чл.11,ал.1 и чл.12 вр. с ал.3 от ЗПК, клиент има право във всеки един момент на договора да изисква да му бъде предоставено безвъзмездно извлечение по сметка под формата на погасителен план за извършените и предстоящите плащания, но тъй като такъв в момента няма действащ и информация не се дължи. Отговорът е изпратен на ел. адрес на адв. Г..

Видно от Писмо изх. № ППН-01-1667#1/03.10.2025 г. от П. на Комисията за защита на личните данни (КЗЛД) във връзка със служебно изисканата информация на основание чл. 39, ал. 4 ЗЗЛД, след направена справка на 02.10.2025г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от Ю. С. Б. срещу „Неткредит“ ООД.

Горната фактическа обстановка се доказва от събраните писмени доказателства, между които няма противоречие и си кореспондират.

При така установената фактическа обстановка Административен съд Видин, намира жалбата за основателна.

Жалбата е допустима, като подадена в срок и от легитимирана страна, засегната от правния ефект на оспорения изричен отказ.

Съдът приема от правна страна следното:

Видно от разпоредбата на чл.39,ал.1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК.

Между страните по делото няма спор, а и от доказателствата по делото се установява, че между “Неткредит“ ООД и Ю. Б. е било налице облигационно правоотношение по силата на сключени договори за потребителски кредити, като задълженията по тях са погасени. Не е спорно също така и че към момента на подаване на молбата за предоставяне на копия от договорите и справки от страна адв. Г., като пълномощник на Б., между страните няма действащ такъв договор.

Не се спори също и че жалбоподателят е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламент / ЕС/ 2016/679. Безспорно е установено и обстоятелството, че „Неткредит“ ООД е „администратор“ на лични данни, съдържащи се в сключените между страните договори. „Неткредит“ ООД попада в хипотезата на определението по чл. 4, т. 7 от Регламент /ЕС/ 2016/679 Общ регламент за защита на личните данни /ОРД3/, предвиждащ, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Не се установява наличие на отрицателната предпоставка за съдебно оспорване на акт от вида на процесния, заложена в нормата на чл.39,ал.4 от ЗЗЛД. Видно от Писмо изх. № ППН-01-1667#1/03.10.2025г. от П. на КЗЛД, към тази дата не е налице висящо производство пред комисията със същия спор между страните или нейно решение относно същото нарушение да е обжалвано и няма влязло в сила решение на съда

По съществото на спора следва да се има предвид следното:

По делото няма спор, а и при извършената служебна проверка се установява, че обжалваният акт е издаден от компетентен орган и е обективиран в законоустановената писмена форма.

Независимо от последното така постановения изричен отказ е в противоречие с материалния закон и правото на Европейския съюз.

ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД, а именно : сезиране на надзорен орган – Комисията за защита на личните данни - чл.38,ал.1 от ЗЗЛД и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК - чл.39,ал.1 от ЗЗЛД. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда.

Както бе посочено и по – горе не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Съобразно чл.4,§1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

Съгласно чл.4, § 2 от същия Регламент „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 15, § 1 от Регламента е предвидено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, а в § 3 от същия регламент е посочено и че администраторът предоставя копие от личните данни, които са в процес на обработване.

В чл. 5, §1 от Регламента са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са уредени принципите на законосъобразност, добросъвестност и прозрачност.

Съгласно чл.37б,ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл.15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като в чл.37в, ал. 1 и ал. 2 от с. з са регламентирани неговите съдържание и приложения.

В настоящия случай безспорно се установява, че жалбоподателят е депозирал по електронен път писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни „Неткредит“ ООД при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл.37в от ЗЗЛД. Макар и да не са изрично цитирани нормите на чл.37б и чл.37в от ЗЗЛД, то отправената молба има изискуемото съдържание на такова заявление. Съгласно чл.37в,ал.1 от ЗЗЛД, заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, като при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното (чл. 37в ал. 2 от ЗЗЛД), като в настоящия случай оспорващия е изпълнил това законово изискване и е подал надлежна молба до ответника на 11.08.2025г., като тя несъмнено има характер на заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл. 37в ал. 1 от ЗЗЛД, както и към същата е приложено пълномощно съобразно разпоредбата на чл.37в, ал. 2 от ЗЗЛД, респективно тя представлява надлежно основание за предоставяне на исканите лични данни.

При това положение и с оглед цитираните по-горе разпоредби, администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт е видно, че изисканата информация не е била получена.

Предвид така изложеното, съдът намира отказа на ответника да удовлетвори искането за постановен в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, § 1, б. „а“ от Регламента.

Съгласно правилото на чл. 15 § 1 от Регламента, субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламента. В подкрепа на този извод са и разпоредбите на член 12 от Регламента, като според § 1 на същия, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение, че идентичността на субекта на данните е доказана с други средства“, а в § 2 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“ От друга страна, съгласно практиката на СЕС (Решение по дело C-369/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни.

С оглед на горното, с отказа на администратора на лични данни да предостави на оспорващия копие от сключените между тях договори за кредит и съпътстващите ги документи, на практика той е бил възпрепятстван да упражни правата, които му предоставя и Регламента в пълната и желана от него степен. Така, лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламента. Както се посочи по-горе, непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение и на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Дори и копие от договора за кредит да е на разположение на жалбоподателя, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламента във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения. В този смисъл ответникът го е лишил и от „правото на защита на личните данни“, което му се предоставя и с чл.8, §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламента. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8,§ 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

В тази насока е и константната практика на касационната инстанция по идентични казуси – Решение № 4856 от 12.05.2025 г. по адм. д. № 1911/2025 г., Решение № 1159 от 11.02.2025 г. по адм. д. № 9474/2024 г., Решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., Решение № 2763 от 18.03.2025 г. по адм. д № 11251/2024 г., всички по описа на ВАС.

В чл.6,§1,б.“б“ от Регламент 2016/679 е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай /обработването на лични данни на жалбоподателя е във връзка със сключени договори/. Жалбоподателят изрично е поискал да му бъдат предоставени копия от договори - носители на личните му данни. В случая съдът приема, че предоставянето на същите е било задължително, за да може жалбоподателя ефективно да упражни предоставеното му с Регламента право.

Без значение е целта на това искане и дали жалбоподателя е поискал това лично или чрез упълномощен адвокат, както и дали вече е получил екземпляр от договора, дали го съхранява или не. Това са обстоятелства неотносими към задължението на администратора на личните данни съгласно Регламент 2016/679 и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая ответникът не предоставя необходимата информация за проверка на законосъобразното обработване на лични данни.

Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на лични данни. Същите са конкретно изброени в чл.37а,ал.1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент 2016/679, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

По отношение на възражението, че договора за кредит и другите документи свързани с него могат да се предоставят само докато трае срока на действие на кредита, а в случая те са изплатени, то същото е неоснователно. За съхраняването на информацията за движението по кредита в информационните регистри на кредитната институция, е налице законово задължение за последната, като администратор на лични данни, което произтича от чл. 67, ал. 1 и ал. 2 от Закона за мерките срещу изпирането на пари, и това е друго правно основание по смисъла на чл. 17 § 1 "б", "в", което изключва заличаването им, независимо, че вече не са необходими за целите на кредита, за които са били събирани и обработвани със съгласие на лицето и въпреки оттегляне на съгласието му и възражението му.

От ответника не са представени доказателства за конкретното облигационно отношение между него и жалбоподателя, нито за срока му, въпреки че това е твърдението му в отговора. От друга страна ответното дружество не оспорва, че жалбоподателя е субект, чиито лични данни са обработвани от дружеството-ответник, поради което и съдът приема, че като субект на това обработване жалбоподателя има право на достъп до обработваните му от администратора лични данни, които се предоставят по реда и съгласно чл. 15 от Регламент /ЕС/ 2016/679.

Ответникът е отказал предоставянето на договори, съдържащи лични данни, ведно с всички съпътстващи договора документи / общи условия, анекси, допълнителни споразумения, погасителни планове и др./, така както е поискано от адв. Г., като представител на жалбоподателя и в срока по чл.12,§.3 от Регламент /ЕС/ 2016/679. Нормата предвижда, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

По изложените съображения съдът счита, че жалбата е основателна, а оспореният с нея отказ е незаконосъобразен, поради което същият следва да бъде отменен.

Доколкото естеството на акта не позволява решаването на въпроса по същество, преписката следва да бъде изпратена на ответника за ново произнасяне по искането на жалбоподателя, при съобразяване с дадените по-горе указания по тълкуването и прилагането на закона. Произнасянето следва да бъде сторено в 14-дневен срок от влизане в сила на настоящото решение.

При този изход на спора основателно се явява искането на жалбоподателя за присъждане на сторените разноски, за което е приложен и списък.

На основание чл.143, ал.1 от АПК следва да бъде осъден ответника да заплати в полза на жалбоподателя разноски в размер на 10 лева, за заплатена Д.Т. за производството пред настоящия съд. От представения по делото Договор за правна защита и съдействие е видно, че на жалбоподателя е оказана безплатна адвокатска помощ и искането на неговия процесуален представител по чл.38,ал.2 от ЗАдв. се явява основателно. С оглед разпоредбата на чл.36,ал.2, изр.2 от ЗАдв. и чл.8,ал.2,т.10 от Наредба 1/2004г. за възнаграждения за адвокатска работа, съдът счита, че в полза на адв. Г. от САК следва да се присъди адвокатско възнаграждение в размер на 900 лева.

Водим от гореизложеното и на основание чл. 172, ал. 2, във връзка с чл. 173, ал. 2 и чл. 174 от АПК, Административният съд

РЕШИ:

ОТМЕНЯ изричен отказ на „Неткредит“ ООД, [населено място], представляван от И. Н. Х.-С., обективиран в писмо от 12.08.2025г., по искането на Ю. С. Б. от [населено място], чрез адвокат Л. А. Г. от САК, от 11.08.2025 г. за предоставяне на копия от всички договори за кредит, между страните, както и справки за извършените плащания по всеки от договорите.

ИЗПРАЩА преписката на „Неткредит“ ООД, [населено място], представляван от И. Н. Х.-С., за ново произнасяне по искането на Ю. С. Б. от [населено място], чрез адвокат Л. А. Г. от САК, от 11.08.2025 г. за предоставяне на копия от всички договори за кредит, между страните, както и справки за извършените плащания по всеки от договорите, съобразно задължителните указания по тълкуването и прилагането на закона, дадени в мотивите на настоящото решение, в 14 - дневен срок от получаване на влязлото в сила решение.

ОСЪЖДА „Неткредит“ ООД, [населено място], представляван от И. Н. Х.-С. да заплатят на Ю. С. Б. от [населено място] сумата от 10 (десет) лева, за внесени Д.Т.

ОСЪЖДА „Неткредит“ ООД, [населено място], представлявано от И. Н. Х.-С., да заплатят на адвокат Л. А. Г. от САК сумата от 900 (деветстотин) лева, представляваща дължимо адвокатско възнаграждение за оказана безплатна адвокатска помощ по делото.

Решението подлежи на обжалване пред Върховен административен съд в четиринадесетдневен срок от съобщението на страните.