Решение по дело №6/2025 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на Р. К. Д. от [населено място], подадена чрез пълномощник – адв. М. М. като управител на Еднолично адвокатско дружество М. [населено място], срещу отказ на „Кредирект“ ЕООД [населено място] в качеството му на администратор на лични данни да предостави на жалбоподателката копия на всички носители на личните й данни, обработвани от дружеството – договори, стандартни европейски формулари и др., обективиран в получен по електронен път на 23.12.2024 г. отговор от „Кредирект“ ЕООД [населено място] на искането на Р. К. Д. от 26.11.2024 г., изпратено им по електронен път на 27.11.2024 г. чрез упълномощеното от нея Еднолично адвокатско дружество М. [населено място] с управител адв. М. М..

Жалбоподателката твърди, че на 27.11.2024 г., чрез пълномощника си – адв. М. М. като управител на Еднолично адвокатско дружество М. [населено място], е изпратила по електронен път искане до „Кредирект“ ЕООД [населено място] на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета да й бъде предоставена информация относно личните й данни, обработвани от дружеството за периода 26.11.2018 г. – 26.11.2024 г., както и да й бъдат предоставени копия на всички носители на личните й данни – договори, стандартни европейски формуляри, погасителни планове и др., за да бъде извършена проверка на обработваните данни, доколкото наличието на същите и подписването им в частност са основанията, въз основа на които се обработват личните й данни от администратора. На 23.12.2024 г. получила по електронен път отговор от „Кредирект“ ЕООД [населено място] с приложение, съдържащо информация за личните й данни, обработвани от дружеството. В него било посочено, че същите са от категория „Обработвани данни“ и „Архивирани данни“ и са обработвани от служители на администратора за изпълнение на техни договорни, законови и регулаторни задължения. Данните от категория „Обработвани“ били във връзка със сключен договор за потребителски кредит № 1063538, а от категория „Архивирани“ – във връзка със сключени договори за потребителски кредит, по които жалбоподателката нямала задължения към дружеството. Целите на обработката били за изпълнение на законови и регулаторни задължения, изпълнение и управление на сключен/и договор/и с жалбоподателката и за изпълнение на техен законов интерес. Упоменато било и това, че информация относно кредитополучателя се съхранявала за срока на договорните отношения и за срок от 5 години от началото на календарната година, следваща годината на прекратяването на отношенията между страните. В приложението към отговора били посочени единствено кои данни на жалбоподателката подлежат на обработка. С получения обаче отговор от „Кредирект“ ЕООД [населено място] на жалбоподателката не били предоставени изрично поисканите от нея носители на личните й данни, поради което бил налице отказ за предоставянето им. Поддържа, че „Кредирект“ ЕООД [населено място] е администратор на лични данни и е задължен по смисъла на чл. 12 от Регламента да предприема необходимите мерки за предоставяне на всякаква информация, която се отнася до обработването, на субекта на данните, в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, поради което на основание чл. 15 от Регламента имала право да получи от администратора потвърждение дали се обработват личните й данни и ако това е така, да получи достъп до тях и информация за целите на обработването им, съответните категории лични данни и получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, както и да получи копие от личните данни, които са в процес на обработване. Сочи, че съобразно разпоредбата на чл. 20 от Регламента субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. С оглед на това смята, че без да й бъдат предоставени носителите на лични данни, не би могла да разбере дали личните й данни се обработват легитимно при положение, че не знае дали изобщо има основание за обработването им. Предвид изложеното иска от съда да отмени обжалвания отказ и да задължи „Кредирект“ ЕООД [населено място] в 7-дневен срок от влизане в сила на решението да й предостави копия на носителите на личните й данни, обработвани от дружеството – договори и др. Претендира за направените по делото разноски.

Ответникът – „Кредирект“ ЕООД [населено място], чрез процесуалния си представител съобразно приложено пълномощно – юрисконсулт В. В., представя писмено становище (л. 20 – 25), с което оспорва жалбата, като неоснователна. Твърди, че с отговора си от 23.12.2024 г. е предоставил на жалбоподателката дължимата й информация, ведно с копие на личните й данни, в обем, определен от действащата нормативна уредба – ЗЗЛД, Регламент (ЕС) 2016/679 и Насоки на Европейския комитет по защита на данните, с което е изпълнил вмененото му от тях задължение. Смята, че последното не включва предоставянето на копия от носителите на лични данни, както и че субектът на лични данни не е мотивирал в жалбата си причините, поради които смята, че обемът на предоставената му информация за обработваните от дружеството лични данни не му е достатъчен за постигане на целите, които преследва. В тази връзка, позовавайки се на съдържанието на приложеното към искането на жалбоподателката пълномощно, твърди, че с искането си да й бъдат предоставени копия на носителите на личните й данни жалбоподателката преследва други цели – завеждане на искови производства. По тези съображения моли жалбата да бъде отхвърлена и претендира за юрисконсултско възнаграждение.

Въз основа на събраните по делото доказателства съдът намира за установено от фактическа страна следното:

На 27.11.2024 г. жалбоподателката Р. К. Д., чрез адв. М. М. – управител на Еднолично адвокатско дружество М., подала по електронен път до „Кредирект“ ЕООД [населено място] в качеството му на администратор на лични данни искане с дата 26.11.2004 г., подписано с КЕП (л. 28 – 29), с което на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО – Общ регламент относно защитата на данните (ОРЗД), поискал да й бъде предоставена информация относно това дали личните й данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, за периода от 26.11.2018 г. до 26.11.2024 г. Изрично поискала също да й бъдат предоставени и всички носители на личните й данни – договори, стандартни европейски формуляри и др., за да извърши проверка на обработваните данни. Посочила, че иска информацията и документите да й бъдат предоставени на имейл адрес: [електронна поща]. Към искането е било приложено пълномощно за подалия го адвокат като управител на упълномощеното от нея Еднолично адвокатско дружество (л. 27).

В отговор от ответника – „Кредирект“ ЕООД [населено място], чрез длъжностно лице по защита на данните, на 23.12.2024 г. на посочения от жалбоподателката имейл адрес бил изпратен писмен отговор, ведно с приложение, съдържащо информация за личните й данни, обработвани от дружеството (л. 30 – 31), в който е посочено, че същите са от категория „Обработвани данни“ и „Архивирани данни“ и са обработвани от служители на администратора за изпълнение на техни договорни, законови и регулаторни задължения. Данните от категория „Обработвани“ били във връзка със сключен договор за потребителски кредит № 1063538, а от категория „Архивирани“ – във връзка със сключени договори за потребителски кредит, по които жалбоподателката нямала задължения към дружеството. Целите на обработката били за изпълнение на законови и регулаторни задължения, изпълнение и управление на сключен/и договор/и с жалбоподателката и за изпълнение на техен законов интерес. Упоменато е и това, че информацията относно кредитополучателя се съхранява за срока на договорните отношения и за срок от 5 години от началото на календарната година, следваща годината на прекратяването на отношенията между страните. С отговора обаче на жалбоподателката не са предоставени, а не се твърди да са й били предоставени и след това изрично поисканите от нея носители на личните й данни, обработвани от дружеството.

Жалбата е подадена в съда, ведно с приложенията й, по ел. път на 06.01.2025 г. (л. 1 – 9).

По делото са приети като писмени доказателства искането на жалбоподателката и отговора на ответника, ведно с данни за изпращането/получаването им, цитирани по-горе, както и удостоверение по чл. 39, ал. 4 от ЗЗЛД на Комисията за защита на личните данни (КЗЛД) с изх. № ППН-01-103#1 от 03.02.2025 г. (л. 35).

При тези фактически установявания, като взе предвид направените в жалбата оплаквания, доводите и становищата на страните и относимата нормативна уредба, съдът приема от правна страна следното:

ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД – сезиране на КЗЛД (чл. 38, ал. 1 от ЗЗЛД) и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК (чл. 39, ал. 1 от ЗЗЛД). Видно от съдържанието на релевантните правни норми, в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 от ЗЗЛД – да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В случая по делото е установено, видно от представеното удостверение на КЗЛД, че пред комисията няма висящо или приключило административно производство, което да е идентично от гл. т. на предмет и страни с настоящото съдебноадминистративно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Според отговора на ответника на отравенето му от жалбоподателката искане между страните са налице облигационни отношения - сключен договор за потребителски кредит, във връзка с който ответникът, като кредитор, обработва лични данни на длъжника – жалбоподателката. Следователно жалбоподателката е субект, чийто лични данни са обработвани от дружеството, и има право на достъп до обработваните й от него лични данни съгласно чл. 15 от Регламент 2016/679, като това си право тя е реализирала чрез отправено по електронен път искане по чл. 37б от ЗЗЛД – на 27.11.2024 г., до администратора на личните ю данни, какъвто ответникът не оспорва, че е, а и безспорно попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679. Съответно за ответника – администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подадените от жалбоподателката заявление, като съгласно разпоредбата на чл. 12, §3 от Регламент 2016/679 това е следвало да стане без ненужно забавяне и във всички случаи в срок от един месец от получаване на исканията, което той е и направил с изпратения й по електронен път писмен отговор – на 23.12.2024 г., който е предмет на оспорване. Същият, от гл. т. на неговото съдържание, в т. ч. и приложение, очевидно обективира отказ на искането на жалбоподателката да й бъдат предоставени копия от носителите на личните й данни, обработвани от дружеството, тъй като такива не са и предоставени, а това обуслява и правния интерес на жалбоподателката от оспорването му.

Доколкото обжалваният отказ не съдържа указание за срока за обжалване по съдебен ред, срокът за съдебното му обжалване се удължава на два месеца съгласно чл. 140, ал. 1 от АПК във връзка с чл. 39, ал. 1 от ЗЗЛД, в който и срок е подадена жалбата.

Следователно оспорването, като направено от легитимирано лице с правен интерес против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, в законустановения срок и при липса на забраната по чл. 39, ал. 4 от ЗЗЛД, е процесуално допустимо.

Разгледана по същество, жалбата е основателна.

Подаденото от жалбоподателката искане до ответника е във връзка с упражняване на правата й по чл. 15 от ОРЗД, а съгласно § 3 на цитираната разпоредба администраторът е длъжен да предостави копие от личните данни на субекта.

Спорът в случая се свежда до това попада ли в обхвата на споменатото задължение на администратора на данни предоставянето на субекта на данни на копия от носителите на личните му данни – договори за кретит и др., каквито в случая жалбоподателката изрично е поискала да й се предоставят, но въпреки това не са й били предоставени с отговора на ответника, предмет на настоящото оспорване, доколкото с непредоставянето им е обективаран отказ за това.

Тълкувайки чл. 15, § 3, изречение първо от ОРЗД във връзка с принципа на прозрачност, предвиден в чл. 12, § 1 от регламента, СЕС приема в решението си от 04.05.2023 г. по дело С-487/21, че правото да се получи от администратора копие на лични данни, които са в процес на обработване, изисква на субекта да се предостави точна и разбираема реплика на всички тези данни, но и че това право предполага правото на получаване на копие от извлечения от документи и дори цели документи или извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

С оглед на изложеното, доколкото в чл. 6, § 1, б. „б“ от ОРЗД е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай (според отговора на ответника същият обработва лични данни на жалбоподателката във връзка с изпълнението на сключен с нея договор за кредит, по който той се явява неин кредитор), а в чл. 17, ал. 1, § 1, б. „г“ от ОРЗД е предвидено, че субектът на данни има право да поиска от администратора изтриване на свързаните с него лични данни, ако те са били обработвани незаконосъобразно, и доколкото жалбоподателката изрично е поискала да й бъдат предоставени копия от всички носители на личните й данни, за да извърши проверка на обработваните данни, съдът приема, че предоставянето на последните е било задължително, за да може жалбоподателката ефективно да упражни предоставено й с регламента право.

Ако действителлно е налице, доколкото не е индивидивидуализиран, твърденият в отговора на ответника договор за потребитилески кредит с жалбоподателката, то тя, като страна по него, би следвало да разполага с екземпляр от същия, но този факт – дали заявителят (жалбоподателката) съхранява или не своя екземпляр от договора, не е относим към задължението на администратора на личните данни съгласно ОРЗД и ЗЗЛД да предостави копия на ностителите на личните данни, когато те са надлежно поискани по реда на чл. 37б и чл. 37в от ЗЗЛД. Не са налице и предпоставките за отказ от предоставянето им – конкретно изброените хипотези в чл. 37а, ал. 1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

Недоказано и изцяло почиващо на субективни предположения е възражението на ответника, че с искането си да й бъдат предоставени копия на носителите на личните й данни жалбоподателката преследва други цели – завеждане на искови производства. Нещо повече: сам по себе си фактът, че в отговора на ответника не е индивидуализиран договора, във връзка с който ответникът твърди, че обработва лични данни на жалбоподателката, обосновава правния й интерес да иска да й се предостави копие от този договор, за да може тя най-малкото да извърши проверка на обработваните данни и основанието за обработването им.

По тези съображения жалбата се явява основателна и оспореният отказ следва да бъде отменен като незаконосъобразен, а преписката да бъде изпратена на ответника като администратор на лични данни за ново произнасяне по искането на жалбоподателката за предоставяне на копия от всички носители на личните й данни в 7-дневен срок от влизане в сила на настоящото решение, при съобразяване с дадените указания по тълкуването и прилагането на закона.

С оглед на изхода от делото на жалбоподателката следва да се присъдят направените по делото разноски в размер на 10 лв., представляващи заплатена държавна такса.

От страна на пълномощника на жалбоподателката в съдебно заседание е направено искане за заплащане на минималното възнаграждение за един адвокат, предвидено за този вид дела по Наредбата за минималните адвокатски възнаграждения. В приложения на л. 41 от делото договор за правна защита и съдействие е посочено, че е предоставена безплатна правна помощ предвид обстоятелството, че клиентът е материално затруднено лице. Правото на адвоката да окаже безплатна адвокатска помощ на материално затруднено лице е установено със закон – чл. 38, ал. 1, т. 2 от от Закона за адвокатурата (ЗА). Когато в съдебното производство насрещната страна дължи разноски, съгласно чл. 38, ал. 2 от ЗА адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение в размер, определен от съда, като възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл. 38, ал. 1, т. 2 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице, поради което от ответника следва да бъде заплатено на адв. М. М., като управител на упълномощеното от жалбоподателя Еднолично адвокатско дружество М., адвокатското възнаграждение в размер на 1000 лева, определено по реда на чл. 8, ал. 3 от Наредба № 1 от 09.07.2014 г. за минималните размери на адвокатските възнаграждения, ведно със сумата от 200 лева, представляваща ДДС, с оглед на представената справка за регистрация по ЗДДС – л. 42.

Водим от горните мотиви, Административен съд Стара Загора на основание чл. 172, ал. 2 във връзка с чл. 173, ал. 2 и чл. 174 от АПК

Р Е Ш И :

ОТМЕНЯ по жалба на Р. К. Д., [ЕГН], отказа на „Кредирект“ ЕООД, ЕИК *********, в качеството му на администратор на лични данни да предостави на жалбоподателката копия на всички носители на личните й данни, обработвани от дружеството, обективиран в получен по електронен път на 23.12.2024 г. отговор от „Кредирект“ ЕООД [населено място] на искането на Р. К. Д. от 26.11.2024 г., изпратено по електронен път на 27.11.2024 г. чрез упълномощеното от нея Еднолично адвокатско дружество М. [населено място] с управител адв. М. М., като незаконосъобразен.

ИЗПРАЩА преписката на „Кредирект“ ЕООД, ЕИК *********, на просрочени задължения“ АД, ЕИК *********, за ново произнасяне по искането на Р. К. Д., [ЕГН], с дата 26.11.2024 г., изпратено по електронен път на 27.11.2024 г. чрез упълномощеното от нея Еднолично адвокатско дружество М. [населено място] с управител адв. М. М., да й бъдат предоставани копия на всички носители на личните й данни, обработвани от дружеството, при съобразяване с дадените в мотивите към настоящото решение указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ на „Кредирект“ ЕООД, ЕИК *********, 7-дневен срок за произнасяне, считано от влизане в сила на настоящото съдебно решение.

ОСЪЖДА „Кредирект“ ЕООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет. 5, да заплати на Р. К. Д., [ЕГН], от [населено място], [жк], вх. Г, ет. 2, ап. 102, сумата от 10 (десет) лева, представляваща направени разноски по делото.

ОСЪЖДА „Кредирект“ ЕООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет. 5, да заплати на Еднолично адвокатско дружество М., ЕИК *********, със седалище и адрес на управление [населено място], [улица], ет. 5, офис 42, представлявано от адв. М. В. М., сумата от 1200 (хиляда и двеста) лева, представляваща адвокатско възнаграждение за оказана безплатна адвокатска помощ и съдействие на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата, ведно с ДДС.

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните, ведно с препис от него.