Решение по адм. дело №608/2025 на Административен съд - Сливен

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗМВР).

Административното дело е образувано по жалба от И. Д. Д., [ЕГН], с адрес [населено място], [жк] [адрес], подадена чрез адв. М. В. М., срещу изричния отказ на „СИТИ КЕШ“ ООД, ЕИК *********, със седалище и адрес на управление гр. София, р-н Младост, бул. „Цариградско шосе“ № 115 Е, ет. 5, представлявано от управителя Н. П. П., обективиран в отговор от 13.09.2025 г., да предостави носителите на лични данни, въз основа на които обработва данните на жалбоподателя за периода от 14.08.2020 г. до 14.08.2025 г., а именно договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от И. Д. Д., във връзка с отпускане на заем.

Жалбоподателят счита, че на основание разпоредбата на чл. 15 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета, има право да получи от администратора достъп до личните му данни, които се обработват, както и информацията за целите на обработването на данните, получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, както и да получи копие от личните данни, които са в процес на обработване, а съобразно разпоредбата на чл. 20 от Регламента, като субект на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. Моли за отмяна на изричния отказ на „СИТИ КЕШ“ ООД и за присъждане на направените разноски.

В отговор на жалбата по делото е постъпило писмено становище с вх. № СД-01-01-3070/10.10.2025 г. по описа на Административен съд – Сливен от „СИТИ КЕШ“ ООД, чрез пълномощник – юрисконсулт Ц. Б.. Посочено е, че липсва конкретен административен акт, подлежащ на оспорване. Твърди се, че исканата информация не представлява лични данни, не е налице задължение за предоставяне на документи по чл. 20 от Регламент (ЕС) 2016/679. Твърди, че дружеството не съхранява платежни нареждания, поради което няма фактическата и правна възможност да ги предостави на искателя. Моли за отхвърляне на жалбата и за присъждане на юрисконсултско възнаграждение в размер на 300,00 лева.

В съдебно заседание жалбоподателят И. Д. Д., редовно призован, не се явява и не се представлява. По делото е постъпила молба от процесуалния представител на оспорващия, в която изразява становище, че поддържа жалбата срещу оспорения отказ и претендира присъждане на разноски, като представя списък на същите. Моли за отмяна на отказа на „СИТИ КЕШ“ ООД като незаконосъобразен и в хипотезата на евентуалност да бъде прогласена неговата нищожност.

Ответната страна „СИТИ КЕШ“ ООД, редовно призована, не се представлява.

Административният съд Сливен, след като обсъди и прецени наведените в жалбата доводи, становищата на страните и събраните по делото относими към спора доказателства, приема за установено от фактическа страна следното:

На 14.08.2025 г. жалбоподателят И. Д. Д. подал, чрез адвокат М. В. М., до „СИТИ КЕШ“ ООД искане на основание чл. 15 и чл. 20 от Регламент (ЕС) 679 от 2016г. на Европейския парламент и на Съвета („Регламента“) (л. 5 от делото и л. 43). Връчването било извършено чрез електронна поща. С искането, на основание чл. 15 и чл. 20 от Регламента, било поискано от „СИТИ КЕШ“ ООД, с ЕИК *********, в качеството му на администратор на лични данни, да му предостави информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, с молба да се предоставят данните за периода от 14.08.2020 година до 14.08.2025 година. С искането пълномощникът на Д. поискал на доверителя му да му бъдат предоставени всички носители на лични данни /договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и др./, за да се извърши проверка на обработваните данни. В заявлението било посочено, че исканите данни следвало да бъдат изпратени на електронния адрес на пълномощника на жалбоподателя.

На 13.09.2025г. на посочената електронна поща бил получен имейл от ответника, с прикачен файл, съдържащ множество данни и информация за жалбоподателя И. Д. Д., без изисканите със заявлението копия на договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и копия на погасителен план, за които е посочено, че не могат да бъдат предоставени на основание чл. 20 от Регламента, поради което искането по отношение на тях се явява неоснователно (л. 6 – 10 и л. 45 - 49). Отговорът бил подписан с електронен подпис от П. С. Л. – длъжностно лице по защита на данните.

Жалбата до Административен съд - Сливен, въз основа на която е образувано настоящото съдебно производство, е подадена на 23.09.2025 г.

Горната фактическа обстановка съдът прие за установена въз основа на събраните в хода на съдебното дирене годни, относими и допустими доказателствени средства, включително приложените към административната преписка писмени доказателства, които не бяха оспорени от страните по предвидения в закона ред.

При така установената фактическа обстановка, съдът прави следните правни изводи:

Жалбата е процесуално допустима. Насочена е срещу индивидуален административен акт, който подлежи на съдебен контрол за законосъобразност, съгласно изричната разпоредба на чл. 39, ал. 1 от ЗЗЛД. Подадена е в срока по чл. 149, ал. 1 от АПК, от надлежна страна, адресат на акта, имаща право и интерес от обжалването.

Разгледана по същество същата се явява основателна поради следните съображения:

Съгласно чл. 39, ал. 1 от ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административно-процесуалния кодекс.

Между страните не е спорно, че между „СИТИ КЕШ“ ООД и И. Д. Д. са налице договорни правоотношения, въз основа на които дружеството е администратор на личните му данни, които обработва. По делото е налице спор дали издаденият административен акт (отговор) от дружеството е нищожен и алтернативно, дали с него са предоставени в пълнота исканите от Д. документи, съдържащи личните му данни, които дружеството обработва, като жалбоподателят твърди, че същите не са му били представени в пълнота, докато дружеството твърди обратното, а именно, че е изпълнило задълженията си да му предостави копие от личните му данни, които са в процес на обработка, съобразно чл. 15 и чл. 20 от ОРЗЛД и в законовия срок по ОРЗД и чл. 53, ал. 3 от ЗЗЛД. Отделно от това дружеството твърди, че искането за предоставяне на копия от договори за кредит, погасителни планове и плащания не попада в правото на достъп до лични данни съгласно ОРЗД и ЗЗЛД.

Във връзка с направено запитване от съда по делото е постъпило писмо от Комисия за защита на личните данни с вх. № СД-01-01-3046/08.10.2025 г. по описа на съда, в което се посочва, че след направена служебна справка на 07.10.2025 г. не се установява наличие на висящо или приключило производство пред КЗЛД, инициирано от И. Д. Д. срещу „СИТИ КЕШ“ ООД.

Жалбата, с която е сезиран съдът е насочена срещу акт на администратор на лични данни да уважи заявление по чл. 15 и чл. 20 от ОРЗД. В случая „СИТИ КЕШ“ ООД е администратор на лични данни, тъй като съгласно чл. 4, пар. 7 от Регламента "администратор" на лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Следователно оспорването, като направено от легитимирано лице с правен интерес, в законоустановения срок и против административен отказ, подлежащ на съдебен контрол за законосъобразност, е процесуално допустимо.

Едно от основните права на субекта на данни е правото му на достъп, закрепено в чл. 15 от Регламент (ЕС) 2016/679 като получаване на потвърждение от администратора дали се обработват лични данни, свързани със субекта и ако отговорът е положителен, да се даде информация относно: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането.

В конкретния случай се установява, че на 14.08.2025 г. от жалбоподателя И. Д. Д., чрез адвокат М. В. М., е подадено по електронен път искане до „СИТИ КЕШ“ ООД, в качеството му на администратор на лични данни, с молба да му бъде предоставена информация за обработване на личните му данни, както и допълнителна информация свързана с тяхното обработване. Заявлението било получено от дружеството на същата дата.

Отговорът на „СИТИ КЕШ“ ООД е от 13.09.2025 г. и е изпратен по ел. поща. С уведомлението е изпратен прикачен файл, съдържащ множество данни и информация за жалбоподателя И. Д. Д., които се обработват от дружеството, без изисканите копия на договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и копия на погасителен план, за които е посочено, че не могат да бъдат предоставени на основание чл. 20 от Регламента, поради което искането по отношение на тях се явява неоснователно. Отговорът бил подписан с електронен подпис от П. С. Л. – длъжностно лице по защита на данните.

Съгласно разпоредбата на чл. 168, ал. 1 от АПК съдът не се ограничава само с обсъждане на основанията, посочени от оспорващия, а е длъжен въз основа на представените от страните доказателства да провери законосъобразността на оспорения административен акт на всички основания, като според ал. 2 обявява нищожността на оспорения акт, дори да липсва искане за това. В случая е налице такова искане от страна на жалбоподателя.

С разпореждане на съда № 1859/06.10.2025 г. е указано на ответника, че следва да представи по делото доказателства за компетентността на П. С. Л. да подпише отговора от 13.09.2025 г., както и за заеманата от нея длъжност. С разпореждането съдът е предупредил ответника, че при непредставяне на посочените доказателства делото ще се разгледа и реши при наличните такива. Разпореждането е получено от ответника на 07.10.2025 г. (л. 36), като до приключване на последното заседание във фазата на събиране на доказателства, такива не са представени. Същевременно съдът извърши служебно проверка в публичния регистър на сайта на Комисията за защита на личните данни и по-конкретно в Регистъра на администраторите и обработващите лични данни, които са определили длъжностни лица по защита на данните и установи, че ответникът „СИТИ КЕШ“ ООД няма регистрирано длъжностно лице по защита на данните (https://sais.cpdp.bg/saispublic/OfficialsRegister).

С оглед изложеното в настоящия казус съдът приема, че оспореният акт е издаден при липса на компетентност на лицето, което го е подписало, което представлява нарушение по смисъла на чл. 146, т. 1 от АПК и е основание за обявяване на неговата нищожност.

Независимо от основанията за обявяване на нищожност на оспореното писмо, съдът счита, че следва да разгледа писмото и съобразно изискванията на материалния закон. Настоящият съдебен състав намира, че отказът е издаден и в противоречие с материалните правила, поради следното:

В разглеждания случай жалбоподателят е подал заявление по чл. 37б от ЗЗЛД до администратора на лични данни, какъвто е „СИТИ КЕШ“ ООД, при спазване на посочения в разпоредбата ред, като подаденото заявление отговаря на изискванията на чл. 37в от ЗЗЛД относно съдържание и приложения.

В представеното по делото писмено становище от ответника по жалбата се твърди, че изисканите копия на договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и копия на погасителен план, не могат да бъдат предоставени на основание чл. 20 от Регламента, поради което искането по отношение на тях се явява неоснователно.

Така възприетото от ответника по жалбата не се споделя от настоящия съдебен състав.

Съгласно чл. 12, § 1 от Регламент (ЕС) 2016/679, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Съгласно чл. 12, § 2 от Регламент (ЕС) 2016/679, администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, § 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. В § 3 от чл. 12 на Регламент (ЕС) 2016/679 е предвидено, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Съгласно чл. 12, § 4 от Регламент (ЕС) 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред.

В случая горецитираните разпоредби не са спазени от ответника по жалбата.

Подаденото от Д. искане е във връзка с упражняване на правата му по чл. 15 - чл. 20 от Регламент (ЕС) 2016/679 и съгласно § 3 на чл. 15 от Регламент (ЕС) 2016/679, администраторът е длъжен да предостави достъп до данните и копие от личните данни на субекта. Съгласно чл. 15, § 1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасяща се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администраторът обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на достъп до данни по реда на чл. 15, § 1 от Регламент (ЕС) 2016/679 е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5, § 1, б. „а“ от Регламент 2016/679. С чл. 12, § 1 от Регламент (ЕС) 2016/679 администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и дали се обработват в съответствие с Регламент (ЕС) 2016/679, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламент (ЕС) 2016/679.

Ответникът по жалбата не опроверга твърденията, че жалбоподателят не притежава изисканата информация, включително относно извършените плащания по договорите за кредит. С оспорения отказ ответното дружество лишава жалбоподателя от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. Субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл. 8, § 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент(ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, § 2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Относно твърдението на ответника, че съгласно чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, физическото лице следва да получи точно копие от обработваните лични данни, а не да му бъдат предоставени исканите копия от сключените договори за кредит и други документи, съдът намира следното:

Както вече бе посочено, съгласно чл. 15, § 1 от Регламент (ЕС) 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, включително и информация относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията, въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност, администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването /чл. 12, § 1 от Регламента/ в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т. ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая наличието на сключени договори за кредит. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правата, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Действително, правото да се предостави копие на лични данни по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т. ч. и под формата на компилация от данни. Но следва да се има предвид приетото в Решение на СЕС от 4 май 2023 година по дело C-487/21, че това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права.

Разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент (ЕС) 2016/679.

Предвид изложеното, съдът приема, че ответникът по жалбата е следвало да предостави исканите копия от сключените договори за кредит, за да може жалбоподателят ефективно да упражни предоставените му с Регламента права.

Съдът счита, че с оглед ефективно упражняване на правата, предоставени му с Регламент /ЕС/ 2016/679, жалбоподателят има право да получи и достъп до обработваните му лични данни, свързани с плащанията по договорите за кредит, а именно в какъв размер и на кои дати са постъпили такива за погашения по сключените договори за кредит, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми /в това число главница, лихви, такси, неустойки и други/, доколкото това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно /поради наличие на договор и в негово изпълнение/ и точно /размер на задължението и срок за изпълнението му/.

В процесния случай не са налице и предпоставките по чл. 37а, ал. 1 от ЗЗЛД, при които администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламент (ЕС) 2016/679.

Следователно е налице и твърдяната от жалбоподателя незаконосъобразност.

Въз основа на изложеното съдът приема, че жалбата е основателна и следва да бъде уважена, а оспореният административен акт следва да бъде обявен за нищожен, ведно с произтичащите от това правни последици, като на основание чл. 173, ал. 2 и чл. 174 от АПК, преписката следва да бъде изпратена на администратора на лични данни „СИТИ КЕШ“ ООД за ново произнасяне в определен срок, съобразно изложените мотиви от съда, които са задължителни, относно приложението на материалния и процесуалния закон.

С оглед изхода на спора и на основание чл. 143, ал. 1 от АПК, претенцията на жалбоподателя за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на жалбоподателя направените от него по делото разноски в размер на 10 лева, представляващи внесена държавна такса за разглеждане на делото. На основание чл. 38, ал. 2 във връзка с чл. 38, ал. 1, т. 2 от ЗА, пълномощникът на жалбоподателя има право на адвокатско възнаграждение, с оглед представените по делото договор за правна защита и съдействие за оказване на адвокатска помощ безплатно и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на пълномощника на жалбоподателя адвокатско възнаграждение в размер на 900 лева, съобразно чл. 8, ал. 2, т. 10 от НАРЕДБА № 1 от 9.07.2004 г. за възнаграждения за адвокатска работа.

Водим от горното и на основание чл. 172, ал. 2, чл. 173, ал. 2 и чл. 174 от АПК, Сливенският административен съд, шести състав

 

Р Е Ш И :

 

ОБЯВЯВА НИЩОЖНОСТТА на изричния отказ на „СИТИ КЕШ“ ООД, ЕИК *********, със седалище и адрес на управление гр. София, р-н Младост, бул. „Цариградско шосе“ № 115 Е, ет. 5, представлявано от управителя Н. П. П., обективиран в отговор от 13.09.2025 г., да предостави носителите на лични данни, въз основа на които обработва данните на жалбоподателя за периода от 14.08.2020 г. до 14.08.2025 г., а именно договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от И. Д. Д., във връзка с отпускане на заем.

ИЗПРАЩА преписката на „СИТИ КЕШ“ ООД, ЕИК *********, за произнасяне по подаденото от И. Д. Д. искане от 14.08.2025 г., при спазване на указанията по тълкуването и прилагането на закона, дадени в настоящото решение.

ОПРЕДЕЛЯ на „СИТИ КЕШ“ ООД, ЕИК *********, едномесечен срок за произнасяне по искането на И. Д. Д., считано от влизане на решението в сила.

ОСЪЖДА „СИТИ КЕШ“ ООД, ЕИК *********, със седалище и адрес на управление гр. София, р-н Младост, бул. „Цариградско шосе“ № 115 Е, ет. 5, да заплати на И. Д. Д., [ЕГН], с адрес [населено място], [жк] [адрес], сумата от 10 /десет/ лева, представляваща разноски по делото.

ОСЪЖДА „СИТИ КЕШ“ ООД, ЕИК *********, със седалище и адрес на управление гр. София, р-н Младост, бул. „Цариградско шосе“ № 115 Е, ет. 5, да заплати на адвокат М. В. М., адвокатско възнаграждение в размер на 900 /деветстотин/ лева.

 

Решението може да се обжалва с касационна жалба пред Върховен административен съд на Република България в 14-дневен срок от съобщаването му на страните.