Решение по адм. дело №618/2025 на Административен съд - Сливен

Производството е по реда на чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/ във връзка с чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/.

Образувано е по жалба, уточнена с молба от 29.09.2025 г., подадена от Ц. Д. Х. с [ЕГН], с постоянен адрес: гр. С., [улица], срещу Отказ от 15.09.2025 г. на „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, по заявление от Ц. Д. Х., постъпило на 13.08.2025 г., в частта, в която не са предоставени лични данни за размера на придобитите задължения чрез цесия, не са предоставени лични данни, свързани с вида и размера на погасените компоненти на задължението към администратора, и не е предоставен в цялост договора за к. от 11.02.2022 г.

В жалбата си жалбоподателят Х. твърди, че отказът е незаконосъобразен. Излага съображения, че: при разглеждането на заявлението са допуснати съществени процесуални нарушения от страна на администратора на лични данни; по повод копието на договорите и съпътстващите ги документи, от предоставените такива не може да се извлече смисъл и съдържание; видно от предоставените изрезки от договори, в същите не се съдържат основните параметри на един договор, като например главница, цена на услугата, вноски, лихвени проценти, подписи на страните, които представляват лични данни, но не са предоставени; администраторът не е изпълнил задълженията си по Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета; в процесния случай и в нарушение на правилата на Регламента, администраторът изисква заплащането на такса; направеното искане не е нито неоснователно, нито прекомерно и повтарящо се, а е направено еднократно пред администратора; наред с това изисканата от администратора такса не може да бъде дефинирана като разумна и покриваща разходите, които администраторът действително би направил, за да предостави изисканото; обстоятелството дали администраторът използва софтуер за обработката на лични данни, не отменя нито характера на тези данни като лични, нито обстоятелството, че администраторът ги обработва; с действията си администраторът е нарушил „правото на достъп на субекта на лични данни“, разписано в чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета и на „правото на преносимост на данните“, разписано в чл. 20 от Регламента; администраторът на лични данни е постановил оспорения отказ и в несъответствие с целта на закона. Моли оспореният отказ да бъде отменен и преписката да бъде върната със задължителни указания за произнасяне по подаденото заявление. Претендира присъждане на направените по делото разноски.

В съдебно заседание жалбоподателят Х., редовно призована, не се явява и не се представлява. В писмена молба чрез упълномощен процесуален представител поддържа жалбата и моли да бъде уважена. Претендира присъждане на направените по делото разноски и на адвокатско възнаграждение, на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата /ЗА/. В писмени бележки излага съображения в подкрепа на твърденията си за незаконосъобразност на оспорения отказ.

Ответникът по жалбата – „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, редовно призована, не се представлява в съдебно заседание. В представена писмена молба чрез упълномощен процесуален представител счита, че „Агенция за контрол на просрочени задължения“ АД, в качеството си на администратор на лични данни, не е постановила отказ на субекта на данни, а е предоставила своевременно и в пълен обем информация относно обработваните лични данни на субекта.

Административният съд, след като обсъди и прецени наведените в жалбата доводи, становищата на страните и събраните по делото относими към спора доказателства, приема за установено от фактическа страна следното:

На 11.08.2025 г. от жалбоподателя Ц. Д. Х. чрез адвокат П. С. П. е подадено по електронен път Заявление до „Агенция за контрол на просрочени задължения“ АД с искания на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Регламент (ЕС) 2016/679/, във връзка със сключен на 11.02.2022 г. между Ц. Д. Х. и „Аксес Файнанс“ АД договор за к. с КИД .........., и придобиване на вземания по повод договора от „Агенция за контрол на просрочени задължения“ АД. В заявлението са формулирани искания да бъдат предоставени: потвърждение за обработваните от дружеството лични данни на субекта на данни; копие на личните данни, които са в процес на обработване; свързаните с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили за погашения по горепосочения договор, както и за погашения на кои компоненти от съответния договор са използвани заплатените суми /в това число главница, лихва, възнаграждение за поръчителство, лихви, такси, неустойки/; копие на горепосочения договор. В заявлението е посочен като адрес за кореспонденция електронен адрес на пълномощника на заявителя. Приложено е пълномощно от заявителя Ц. Д. Х., издадено в полза на адвокат П. С. П..

Не е спорно между страните, че заявлението е получено на 13.08.2025 г. от „Агенция за контрол на просрочени задължения“ АД, както и не е спорно, че: на 11.02.2022 г. между „Аксес Файнанс“ АД и Ц. Д. Х. е сключен договор за к. б. к., и Приложение № 1 към договора – Рамков договор за издаване и предоставяне на платежна к. б. к.; „Агенция за контрол на просрочени задължения“ АД е придобила вземания по горепосочения договор, въз основа на сключен Рамков договор за прехвърляне на парични задължения /цесия/ от 11.11.2016 г. и Приложение № 1/29.08.2022 г. между „Агенция за контрол на просрочени задължения“ АД и „Аксес Файнанс“ АД.

На предоставената в заявлението електронна поща за контакт е постъпил на 15.09.2025 г. отговор от „Агенция за контрол на просрочени задължения“ АД, озаглавен становище, в който е посочено, че: въз основа на сключен Рамков договор за прехвърляне на парични задължения /цесия/ от 11.11.2016 г. и Приложение № 1/29.08.2022 г. между „Агенция за контрол на просрочени задължения“ АД /цесионер/ и „Аксес Файнанс“ АД /цедент/, задължението на Х., произтичащо от Договор за к. Б. к. № .............., сключен на 11.02.2022 г. с „Аксес Файнанс“ АД, е прехвърлено на „Агенция за контрол на просрочени задължения“ АД, като дружеството е започнало обработка на личните данни на Х. въз основа на горепосочения договор за цесия и обработката на същите продължава; задължението на Х. към „Агенция за контрол на просрочени задължения“ АД, произтичащо от Договор за к. Б. к. № ..........., е изплатено; за погасяване на задължението са постъпили следните суми: сумата от 386,97 лв. на дата 10.10.2023 г. и сумата от 100,00 лв. на дата 15.09.2022 г.; начинът на разпределяне на сумите се извършва автоматично от софтуера, който използва дружеството; личните данни на Х., които „Агенция за контрол на просрочени задължения“ АД обработва, са: трите й имена, данни от лична карта, настоящ адрес, мобилен телефон и и-мейл, данни за предоставения й к., номер на сключените с Х. договори за к.; в случай че Х. иска да й бъде предоставено копие от целия договор за п. з., а не само от съдържащите се в същия лични данни, следва да заплати дължимата такса по тарифата на дружеството, която може да открие на сайта на дружеството. Към отговора са приложени: първа и последна страници от Договор за к. Б. к. от 11.02.2022 г., сключен между „Аксес Файнанс“ АД и Ц. Д. Х.; Приложение № 1 към договора за к. - Рамков договор за издаване и предоставяне на платежна к. Б. к., Общи условия към Рамков договор за издаване на платежна к. Б. к..

Видно от Писмо от 03.10.2025 г. на Комисия за защита на личните данни /КЗЛД/, след направена служебна справка на 02.10.2025 г. не е установено наличие на висящо или приключило производство пред КЗЛД, което да е инициирано от жалбоподателя Х. срещу ответника по жалбата „Агенция за контрол на просрочени задължения“ АД.

Въз основа на установените по делото факти, съдът прави следните правни изводи:

Жалбата е допустима. Подадена е в срок, от надлежна страна и при наличие на правен интерес.

Разгледана по същество, жалбата е основателна по следните съображения:

Съгласно чл. 39, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК.

Безспорно установено по делото е обстоятелството, че между жалбоподателя Ц. Д. Х. и ответника по жалбата „Агенция за контрол на просрочени задължения“ АД са налице правоотношения, възникнали по силата на прехвърляне на вземане по сключен договор за к., като жалбоподателят Х. е субект, чийто лични данни са обработвани от дружеството – ответник по жалбата, и съответно има право като субект на това обработване на достъп до обработваните й от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679.

Ответникът „Агенция за контрол на просрочени задължения“ АД попада в хипотезата на определението по чл. 4, т. 7 от Регламент (ЕС) 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Съгласно чл. 4, т. 1 от Регламент (ЕС) 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Съгласно чл. 4, т. 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

В чл. 15 от Регламент (ЕС) 2016/679 е предвидено „Право на достъп на субекта на данните“, като в § 1 е прието, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните.

Според чл. 15, § 3 от Регламент (ЕС) 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

В конкретния случай, отправеното от жалбоподателя Х. искане до администратора на лични данни – „Агенция за контрол на просрочени задължения“ АД, има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в от ЗЗЛД. Същото е подадено във връзка с упражняване на правата по чл. 15 от Регламент (ЕС) 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл. 15, § 3 от Регламент (ЕС) 2016/679.

От отговора на администратора на лични данни е видно, че не са предоставени лични данни за размера на придобитите задължения чрез цесия, не са предоставени лични данни, свързани с вида и размера на изплатеното задължение към администратора, не е предоставено в цялост копие от договора за к..

Съдържащата се в отговора информация е предоставена по начин, от който не могат да се извлекат конкретни данни относно размера на задължението по договора, което е прехвърлено чрез цесия, включително начислени такси, неустойки, лихвен процент, както и не могат да се извлекат конкретни данни каква част от сумите, постъпили за погасяване на задължението, представляват плащане по главница, по лихви, по такси или по неустойки. С оглед на изложеното, отговорът на администратора е в нарушение на чл. 15 от Регламент (ЕС) 2016/679, предвиждащ правото на достъп на субекта на лични данни.

Относно поисканото от жалбоподателя Х. копие на договор за к., следва да се отчете, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, а посоченият договор е носител на информация за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент (ЕС) 2016/679. Дори копие от посочения договор да е на разположение на жалбоподателя Х., същата, в качеството си на субект на данните, не може да бъде лишена от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между нея и администратора на лични данни взаимоотношения.

Ответникът по жалбата е обосновал отказа си да предостави копие от целия договор за к. с необходимост от заплащане на такса по негова тарифа, което е в противоречие с чл. 12, § 5 от Регламент (ЕС) 2016/679, предвиждащ че информацията по членове 13 и 14 и всяка комуникация и действия по членове 15 - 22 и член 34 се предоставят безплатно.

По силата на чл. 15, § 4 от Регламент (ЕС) 2016/679, субектът на лични данни има право на получаване на копие, на което съответства задължението по § 3 за предоставяне на копие от личните данни, които са в процес на обработване. Копие на личните данни не може да има за съдържание копиране на част от който и да е документ, в който се съдържат лични данни, необходими за идентификация на физическо лице. Администраторът не дължи да съобщи част от личните данни, а да предостави копие на всички лични данни, като спази единствено ограничението с предоставянето на копие да не засяга неблагоприятно правата на трети лица. С оглед определението на „лични данни“, дадено в чл. 4, т. 1 от Регламент (ЕС) 2016/679, и определението на „обработване“ на лични данни, дадено в чл. 4, т. 2 от Регламент 2016/679, не може да се приеме за основателно твърдението на администратора, че е предоставил копие на всички лични данни, чрез извадки от документи към договора за кредит. Съхраняването на лични данни е обработване, а лични данни е и всяка икономическа информация за физическото лице. Договорът за к. съдържа информация, която представлява лични данни, и до тази информация субектът на данни има право на достъп чрез получаване на копие от документа, в който тя се съдържа. Администраторът, по аргумент от чл. 15, § 4 от Регламент (ЕС) 2016/679, няма право на преценка дали да предостави или не копие от личните данни на техния субект. Длъжен е да го направи, като при предоставяне на копие на искания документ, с което ще удовлетвори правото на достъп до всички поискани лични данни, е длъжен да съобрази правата и свободите на други лица. Само това задължение е граница на правото на достъп до личните данни, които се обработват, по определението на чл. 4, т. 1 и т. 2 от Регламент (ЕС) 2016/679. Отказът да се предостави договора за к. в цялост е отказ да се предостави достъп до всички лични данни, които администраторът обработва, и се препятства правото на субекта да провери дали е необходимо да бъдат обработвани. Твърдението на ответника, че се дължи такса срещу предоставянето на поисканото копие на сключения договор за з., би било основателно, само ако се касае за второ или следващо по ред искане да бъдат предоставени копия на личните данни, каквато хипотеза в случая не е налице. Поведението на ответника е в разрез с принципа за прозрачност. Съдържанието на правото на достъп до лични данни по чл. 15 от Регламент (ЕС) 2016/679 не се изчерпва с буквалното копиране на някои категории лични данни от който да е документ, който е техен носител. Това разбиране обезсмисля предмета на правото, а именно достъп до личните данни, което се предоставя с цел ефективната им защита, чрез проверка от страна на субекта на тяхното законосъобразно обработване. Разбирането на администратора за съдържанието на чл. 15, § 3 от Регламент (ЕС) 2016/679 като копиране на някои лични данни от сключения договор е неизпълнение на задължението на администратора за прозрачното им обработване. Копие не означава посочване на категориите лични данни, а копиране на информация по чл. 4, т. 1 във връзка с т. 2 от Регламент (ЕС) 2016/679 и предоставянето на копие от тези документи, които администраторът обработва.

По изложените съображения, оспореният отказ е незаконосъобразен и следва да бъде отменен. Преписката следва да бъде изпратена на администратора на лични данни за произнасяне по подаденото заявление, при съобразяване на изложените в мотивите на съдебното решение указания.

С оглед изхода на спора и на основание чл. 143, ал. 1 от АПК, претенцията на жалбоподателя Х. за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на Х. направените от нея по делото разноски в размер на 10 лева, представляващи внесена държавна такса. На основание чл. 38, ал. 2 във връзка с чл. 38, ал. 1, т. 2 от ЗА, процесуалният представител на жалбоподателя Х. има право на адвокатско възнаграждение, с оглед представените по делото: договор за правна защита и съдействие за оказване на адвокатска помощ безплатно и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на процесуалния представител на жалбоподателя адвокатско възнаграждение в размер на 900 лева, който размер съответства на действителната фактическа и правна сложност на делото и е пропорционален спрямо извършената правна защита, при приложението на чл. 36, ал. 2 от ЗА и съобразяване на Решение на Съда на Европейския съюз от 25 януари 2024 г. по дело С-438/22.

Воден от гореизложеното и на основание чл. 172, ал. 2 и чл. 173, ал. 2 от АПК, Административен съд – Сливен

 

РЕШИ:

 

ОТМЕНЯ по жалба на Ц. Д. Х. с [ЕГН], с постоянен адрес: гр. С., [улица], Отказ от 15.09.2025 г. на „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, по заявление от Ц. Д. Х., постъпило на 13.08.2025 г., в частта, в която не са предоставени лични данни за размера на придобитите задължения чрез цесия, не са предоставени лични данни, свързани с вида и размера на погасените компоненти на задължението към администратора, и не е предоставен в цялост договора за к. от 11.02.2022 г.

ИЗПРАЩА преписката на „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, за произнасяне по подаденото от Ц. Д. Х. заявление в горепосочената част, постъпило на 13.08.2025 г., в срок от един месец от влизане на решението в сила, при спазване на указанията, дадени в настоящото решение.

ОСЪЖДА „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, със седалище и адрес на управление: гр. София, р-н Оборище, ул. „Панайот Волов“ № 29, ет. 3, п. от Я. Б. Я., да заплати на Ц. Д. Х. с [ЕГН], с постоянен адрес: гр. С., [улица], сумата от 10 /десет/ лева, представляваща разноски по делото.

ОСЪЖДА „Агенция за контрол на просрочени задължения“ АД с ЕИК: *********, със седалище и адрес на управление: гр. София, р-н Оборище, ул. „Панайот Волов“ № 29, ет. 3, п. от Я. Б. Я., да заплати на адвокат П. С. П., вписан в Софийска адвокатска колегия с личен № ..............., с код по БУЛСТАТ .................., адвокатско възнаграждение в размер на 900 /деветстотин/ лева.

Решението може да се обжалва с касационна жалба пред Върховен административен съд на Република България в 14-дневен срок от съобщаването му на страните.