Решение по адм. дело №1231/2025 на Административен съд - Хасково

Производството е по реда на чл. 145 и следващите от Административнопроцесуалния кодекс (АПК), във вр. с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на С. М. М. от [населено място], [община], [област] чрез адв. Т. Ц. от САК, срещу Изричен отказ на „Креди Йес“ ООД, в качеството му на администратор на лични данни, да предостави копия от всички документи, в които се съдържат лични данни на С. М. М., включително но не само договор за кредит, договор за цесия и др., съобразно заявление за упражняване право на достъп с вх. № 458/22.04.2025г.

С жалбата се претендира неправилност на оспорения отказ поради нарушение на материалния закон. Посочва се, че на 22.04.2025г. процесуалния представител на жалбоподателя е изпратил електронно съобщение до електронна поща на „Креди Йес“ ООД, с което е отправено искане до „Креди Йес“ ООД за предоставяне на копие от сключен между страните договор за кредит, ведно с всички съпътстващи документи, включително договор за цесия. Искането било продиктувано от притеснение на жалбоподателя за увеличаване размера на дължимите суми без негово знание и съгласие. В отговор на направеното искане, на 21.05.2025г. бил получен изричен отказ за предоставяне копия от документите съдържащи лични данни, с посочване че вземането на „Креди Йес“ ООД е цедирано на 20.04.2021г. на „Агенция за контрол на просрочени задължения“ ЕООД. В жалбата се излагат аргументи, че доколкото към момента на искането и постановения отказ са изтекли малко над 4 години от извършената цесия, независимо последната администратора на данни е длъжен да съхранява документите по кредита и да поддържа кредитно досие на жалбоподателя. По тези съображения се претендира незаконосъобразност на оспорения отказ и се иска неговата отмяна, като се претендират направените по делото разноски. С допълнителна молба се развиват доводи и за нищожност на отказа, като се претендира длъжностното лице по защита на личните данни, да не е разполагало с правомощие да издава актове от вида на процесния, от името на „Креди Йес“ ООД.

Ответникът по жалбата - „Креди Йес“ ООД, чрез процесуален представител в писмен отговор, изразява становище за неоснователност на жалбата. Сочи, че ответното дружество изрично е отговорило на жалбоподателя по направеното искане и е предоставило всички съхранявани при него данни в табличен вид, предвид което не приема да е налице формиран отказ. Посочва се, че копие от документите са били предоставени на жалбоподателя при подписване на договора и същият следвало да ги съхранява. Иска се отхвърляне на жалбата и присъждане на разноски, като се възразява срещу поисканото адвокатско възнаграждения и се претендира неговата прекомерност.

Съдът, като прецени събраните по делото доказателства, поотделно и в съвкупност, както и доводите на страните, приема за установено от фактическа страна следното:

На 22.04.2025г. С. М. М. от [населено място], [община], [област], чрез пълномощника си адв. Т. Ц. от САК, е подал по електронен път молба до - „Креди Йес“ ООД, с която е поискал от дружеството в качеството му на администратор на лични данни да му бъдат предоставени копия от всички документи, в които се съдържат лични данни на С. М. М., включително но не само договор за кредит, договор за цесия и други. В молбата е посочено, че искането се прави с оглед упражняване правото на достъп до лични данни съгласно чл. 15 от Регламент / ЕС/ 2016/679, като е заявен електронен адрес за изпращането на документите. Към молбата е приложено пълномощно за адв. Т. Ц..

С Писмо изх. № 1184 от 21.05.2025г. на длъжностно лице по защита на данните в „Креди Йес“ ООД, С. М. М. е уведомен, че отправеното до дружеството искане, несъмнено е с характер на заявление по смисъла на чл. 37б, ал.1, вр. чл. 37в от ЗЗЛД и с оглед упражняване правата по чл. 15 и чл. 20 Регламент / ЕС/ 2016/679 се сочи, че между Креди Йес“ ООД и С. М. М. е имало сключен договор за паричен заем, който към момента е цедиран. Описани са и категориите лични данни, целите на обработката на личните данни, категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение и правата на субекта на лични данни. По искането на С. М. М. за предоставяне на копие от документите по договора за кредит е посочено, че дружеството е в невъзможност да предостави такива, поради цедиране на вземането на „Агенция за контрол на просрочени задължения“ ЕООД на 20.04.2021г.

Видно от Писмо изх. № ППН-01-842#1/13.06.2025г. от Председателя на Комисията за защита на личните данни (КЗЛД) във връзка със служебно изисканата информация на основание чл. 39, ал. 4 ЗЗЛД, след направена справка на 12.06.2025г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от С. М. М. срещу „Креди Йес“ ООД.

Жалбата е подадена чрез ССЕВ на 04.06.2025г. директно пред Административен съд Хасково.

При така установената фактическа обстановка и като извърши на основание чл. 168, ал. 1 АПК проверка за законосъобразността на оспорения акт на всички основания по чл. 146 АПК, съдът достигна до следните правни изводи:

Жалбата е подадена от надлежнo легитимирано лице, имащо правен интерес от оспорването, в законоустановения срок за това и срещу годен за обжалване административен акт, поради което е процесуално допустима. На следващо място, тя е редовна, тъй като отговаря на изискванията на чл. 150 и чл. 151 АПК.

Видно от разпоредбата на чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК.

Между страните по делото няма спор, че между „Креди Йес“ ООД и С. М. М. е налице облигационно правоотношение по силата на сключен договор за потребителски кредит, като жалбоподателят е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламента. Безспорно е също така обстоятелството, че „Креди Йес“ ООД е „администратор“ на лични данни съдържащи се в сключения между страните договор. Съгласно член 4, параграф 7 от Регламент (ЕС) 2016/679, „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Не се установява наличие на отрицателната предпоставка за съдебно оспорване на акт от вида на процесния, заложена в нормата на чл. 39, ал.4 от ЗЗЛД. Видно от Писмо изх. № ППН-01-842#1/13.06.2025г. от Председателя на КЗЛД, към тази дата не е налице висящо производство пред комисията със същия спор между страните или нейно решение относно същото нарушение да е обжалвано и няма влязло в сила решение на съда

Разгледана по същество, жалбата се явява основателна.

Не се споделят доводите за нищожност на оспореният отказ. Видно от представената по делото Заповед № 194/04.05.2018г. на управителя на „Креди Йес“ ООД, със същата се определя за длъжностно лице по защита на личните данни в „Креди Йес „ООД Б. С. Г., който е упълномощен да действа от името на дружеството като точка за контакт за субектите на данни по отношение на обработката на техните лични данни, да осигури водене на регистрите на дейностите по обработване на личните данни в съответствие с чл. 30 от Общия регламент и др. Именно от този служител е издаден и процесния изричен отказ, с оглед правомощието му да осъществява контакт със субектите на данни по отношение обработката на предоставените от тях лични данни.

Предвид изложеното, съдът намира, че обжалваният акт е издаден от компетентен орган. Същият е обективиран в законоустановената писмена форма, като при издаването му не са допуснати съществени нарушения на административнопроизводствените правила.

Независимо от последното, оспореният отказ е издаден в разрез с материалния закон.

Съгласно нормата на член 4, параграф 1 от Регламента, „лични данни“ са всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

Съгласно чл. 4, параграф 2 от Регламента, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

В член 15, параграф 1 от Регламента е предвидено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, а в параграф 3 от същия регламент е посочено и че администраторът предоставя копие от личните данни, които са в процес на обработване.

В член 5, параграф 1 от Регламента са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са уредени принципите на законосъобразност, добросъвестност и прозрачност.

Съгласно чл. 37б, ал. 1 ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като в чл. 37в, ал. 1 и ал. 2 от с.з са регламентирани неговите съдържание и приложения.

В настоящия случай безспорно се установява, че жалбоподателят е депозирал по електронен път писмено заявление по чл. 37б ЗЗЛД до администратора на лични данни „Креди Йес“ ООД при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл. 37в ЗЗЛД. При това положение и с оглед цитираните по-горе разпоредби, администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт е видно, че изисканата информация не е била получена в пълен обем от оспорващия.

Предвид така изложеното, съдът намира отказът на ответника да удовлетвори напълно искането за постановен в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. „а“ от Регламента.

Съгласно правилото на чл. 15 параграф 1 от Регламента, субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламента. В подкрепа на този извод са и разпоредбите на член 12 от Регламента, като според параграф 1 на същия, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а в параграф 2 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“ От друга страна, съгласно практиката на СЕС (Решение по дело C-369/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни. Ето защо, настоящият съдебен състав намира, че с отказа на администратора на лични данни да предостави на оспорващия копие от сключения между тях договор за кредит и съпътстващите го документи, на практика се възпрепятства възможността на субекта на данни да упражни правата, които му предоставя Регламента в пълната и желана от него степен. Така, лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламента. Както се посочи по-горе, непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение и на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Дори и копие от договора за кредит да е на разположение на жалбоподателя, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламента във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения. В този смисъл следва да се приеме, че ответникът е лишил жалбоподателя от „правото на защита на личните данни“, което му се предоставя и с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като последният е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламента. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по член 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

В тази насока е и константната практика на касационната инстанция по идентични казуси – Решение № 4856 от 12.05.2025 г. по адм. д. № 1911/2025 г., Решение № 1159 от 11.02.2025 г. по адм. д. № 9474/2024 г., Решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., Решение № 2763 от 18.03.2025 г. по адм. д № 11251/2024 г., всички по описа на ВАС.

На следващо място следва да се има предвид, че от ответната страна не се представиха каквито и да било доказателства за изпълнение на задължението на дружеството по чл. 99, ал.3 от ЗЗД да съобщи на длъжника за извършената цесия. Съгласно разпоредбата на чл. 99, ал. 3 от ЗЗД предишният кредитор е длъжен да съобщи на длъжника прехвърлянето и да предаде на новия кредитор намиращите се у него документи, които установяват вземането, както и да му потвърди писмено станалото прехвърляне. В случая, прехвърленото с договор за цесия задължение на жалбоподателя по договора му за кредит с „Креди Йес“ ООД на трети субект, изисква на длъжника да се предостави точна и разбираема реплика на всички данни по тези договори, за да може същият ефективно да упражни предоставените му с Регламент (ЕС) 2016/679 права.

По изложените съображения съдът намира жалбата за основателна, а оспореният с нея отказ за незаконосъобразен, поради което същият следва да бъде отменен.

Доколкото естеството на акта не позволява решаването на въпроса по същество, преписката следва да бъде изпратена на ответника за ново произнасяне по искането на жалбоподателя, при съобразяване с дадените по-горе указания по тълкуването и прилагането на закона.

С оглед изхода на спора, жалбоподателят има право на разноски, на основание чл. 143, ал. 1 АПК, като в полза на същия следва да се присъдят такива в размер на 10,00 лв. за внесената държавна такса. От представения по делото Договор за правна защита и съдействие е видно, че на жалбоподателя е оказана безплатна адвокатска помощ и искането на неговия процесуален представител по чл. 38, ал. 2 ЗАдв се явява основателно. С оглед разпоредбата на чл. 36, ал. 2, изр. 2 ЗАдв и чл. 8, ал.2, т.10 от Наредба 1/2004г. за възнаграждения за адвокатска работа, съдът счита, че в полза на адв. Т. Ц. от САК, с оглед обема на осъщественото процесуално представителство, фактическата и правната сложност на производството, следва да се присъди адвокатско възнаграждение в минимален размер от 900 лв.

Мотивиран от горното и на основание чл. 172, ал. 2 и чл. 173, ал. 2 АПК, съдът

РЕШИ:

ОТМЕНЯ Отказ на „Креди Йес“ ООД в качеството му на администратор на лични данни, да предостави на С. М. М. копия от всички документи, в които се съдържат личните му данни, включително но не само договор за кредит, договор за цесия и др., съобразно заявление за упражняване право на достъп с вх. № 458/22.04.2025г.

ИЗПРАЩА преписката на „Креди Йес“ ООД, гр. Хасково, за ново произнасяне по заявление за упражняване право на достъп с вх. № 458/22.04.2025г., съобразно задължителните указания по тълкуването и прилагането на закона, дадени в мотивите на настоящото решение.

ОСЪЖДА „Креди Йес“ ООД, гр. Хасково, да заплати на С. М. М. от [населено място], [община], [област], сумата от 10,00 лева, представляваща направени разноски по делото.

ОСЪЖДА „Креди Йес“ ООД, гр. Хасково, да заплати на адвокат Т. Ц. Ц. от САК, сумата от 900,00 лева, представляваща дължимо адвокатско възнаграждение за оказана безплатна адвокатска помощ по делото.

Решението подлежи на касационно обжалване пред Върховния административен съд на Република България в 14-дневен срок от съобщаването му на страните.