Решение по дело №173/2025 на Административен съд - Шумен

Производството е по реда на чл.145 и сл. от Административно процесуалния кодекс (АПК), вр. чл.39 ал.1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на П. Д. П. от [населено място], чрез адв.Н. Р. от ВАК против изричен отказ на „Кредирект“ ЕООД с ЕИК *********, седалище и адрес на управление в [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П.. В жалбата си оспорващата твърди, че на 20.02.2025г. изпратила на ответната страна заявление, с което на основание чл.15 и чл.20 от Регламент (ЕС) 679/2016г. на ЕП и на Съвета изискала копие на лични данни, във връзка със сключен между страните договор за кредит. Заявява, че на 19.03.2025г. на посочената в заявлението електронна поща получила отговор от дружеството, съдържащ явен отказ, като не били предоставени копие на личните данни, които се обработват от кредитора във връзка със сключен договор за кредит. По изложените в жалбата съображения се сочи, че изричният отказ е незаконосъобразен и се отправя искане същият да бъде отменен изцяло и преписката да се върне със задължителни указания за произнасяне по подаденото искане, като бъде предоставен поискания договор, анекс към него и погасителен план. Претендира се присъждане на разноски.

В открито съдебно заседание жалбоподателката не се явява лично и не изпраща упълномощен процесуален представител. Адв. Р. в писмено становище от 14.05.2025г. поддържа жалбата и прилага списък на разноските.

Ответникът, редовно призован, не изпраща процесуален представител. „Кредирект“ ЕООД е конституирано като страна в производството, в качеството му на администратор на лични данни. Постъпило е становище на 30.04.2025г. от юрисконсулт В.В., с приложени доказателства за упълномощаване, в което се оспорва жалбата. Твърди се, че е предоставена на жалбоподателката дължимата ѝ информация по договор за кредит № 1047884, ведно с копие на личните ѝ данни, в обем, определен от действащата нормативна уредба– ЗЗЛД и Регламент (ЕС) 2016/679 и Насоки на Европейския комитет по защита на данните, с което е изпълнил вмененото му от тях задължение. Твърди, че не се дължи предоставянето на копия от носителите на лични данни, понеже субектът на лични данни не ги е поискал конкретно и не е мотивирал искането си надлежно. Твърди още, че е налице несъразмерност на искането, и че се преследват други цели, а именно заобикаляне на правила по ГПК. По тези съображения моли жалбата да бъде отхвърлена и претендира за юрисконсултско възнаграждение.

Съдът, като съобрази данните по делото, намира за безспорно установено от фактическа страна следното:

Жалбоподателката твърди, че на 20.02.2025г. чрез пълномощника си адв. Р. изпратила по електронен път на ответната страна- "Кредирект" ЕООД [населено място] заявление, подписано с КЕП, с което на основание чл.15 и чл.20 от Регламент (ЕС) 679/2016г. на ЕП и на Съвета изискала от администратора копие на лични данни, във връзка със сключен между страните договор за кредит, за да бъде извършена проверка на законността на обработката на личните данни. На 19.03.2025г. получила по електронен път отговор от "Кредирект"ЕООД [населено място], издаден от длъжностно лице по защита на данните при дружеството- кредитор, съдържащ информация за личните ѝ данни, обработвани от дружеството във връзка с договор за потребителски кредит. Било посочено в отговора, че не става ясно какво право от чл.15 до чл.22 от Регламент (ЕС) 679/2016г. е било заявено. В писмото били изяснени целта на обработката, категориите получатели, достъп до данните и изтриването им. Целите на обработката били за изпълнение на законови и регулаторни задължения, изпълнение и управление на сключен договор с жалбоподателката и за изпълнение на техен законов интерес. Упоменато било и това, че информация относно кредитополучателя се съхранявала за срока на договорните отношения и за срок от 5 години от началото на календарната година, следваща годината на прекратяването на отношенията между страните. Посочено е още, че към датата на изготвяне на писмото, заявителката има активно непогасено задължение по искания договор за кредит, екземпляр от самия договор ѝ е даден при сключването, като има право да иска извлечение по сметка по кредита, съдържаща условията за издължаването и погасителен план по Закона за потребителския кредит, а не по Регламент № 2016/679. С получения отговор от "Кредирект" ЕООД [населено място] на жалбоподателката не били предоставени изрично поисканите от нея носители на личните ѝ данни, поради което е налице отказ за предоставянето им. Недоволна от отговора, заявителката депозирала на 04.04.2025г. жалба пред настоящия съд, по която е образувано съдебното производство.

По делото са приети като писмени доказателства искането на жалбоподателката и отговора на ответника, заверени за вярност, както и удостоверение по чл.39 ал. 4 от ЗЗЛД на Комисията за защита на личните данни (КЗЛД) с изх. № ППН-01-477#1 от 17.04.2025г., приложено на стр.19 от делото.

При тези фактически установявания, като взе предвид направените в жалбата оплаквания, доводите и становищата на страните и относимата нормативна уредба, съдът приема от правна страна следното:

Съгласно ЗЗЛД са налице два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД – сезиране на КЗЛД, регламентирано в чл. 38 ал. 1 от ЗЗЛД и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК, съгласно чл.39 ал.1 от ЗЗЛД. По делото е установено, видно от представеното удостоверение на КЗЛД, че пред комисията няма висящо или приключило административно производство, което да е идентично като предмет и страни с настоящото съдебно производство, поради което не е налице процесуална пречка за сезиране на съда с процесния спор. Същото е осъществено в законовия регламентиран срок. Доколкото обжалваният отказ не съдържа указание за срока за обжалване по съдебен ред, срокът за съдебното му обжалване се удължава на два месеца съгласно чл. 140 ал. 1 от АПК във връзка с чл. 39, ал. 1 от ЗЗЛД, в който и срок е подадена жалбата.

Съдът приема за безспорно обстоятелството, че между жалбоподателката и ответника „Кредирект“ЕООД, [населено място] са налице облигационни отношения, възникнали по силата на сключен договор за паричен заем, наличието на което обстоятелство не е спорно по делото. Оспорващият е субект, чийто лични данни са обработвани от дружеството– ответник, и съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл.15 от Регламент (ЕС) 2016/679 на ЕП и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679).

Ответникът попада в хипотезата на определението по чл.4 т.7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Следователно оспорването, като направено от легитимирано лице с правен интерес против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, в законоустановения срок и при липса на забраната по чл.39 ал.4 от ЗЗЛД, е процесуално допустимо. Разгледана по същество, жалбата е основателна при следните съображения:

Според чл.4 §1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. "Обработване" на лични данни по определението на чл.4 параграф 2 от ОРЗД означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл.15 от Регламент 2016/679, е предвидено „право на достъп на субекта на данните“, като в параграф 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните“. Според чл.15 §3 от Регламент 2016/679 „администраторът предоставя копие от личните данни, които са в процес на обработване“.

В конкретния случай отправеното от жалбоподателя искане до администратора на лични данни, несъмнено има характер на заявление по смисъла на чл.37б ал.1 от ЗЗЛД и съдържа реквизитите по чл.37в от ЗЗЛД. Същото е подадено във връзка с упражняване на правата по чл.15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл.15 §3 от Регламент 2016/679.

Спорно е в случая дали попада в обхвата на задължението на администратора на данни предоставянето на субекта на данни на копия от носителите на личните му данни– договори за кредит, ведно с неговите приложения- анекси и погасителен план, каквито в случая жалбоподателката изрично е поискала да ѝ се предоставят.

В представеното по делото писмено становище от ответника по жалбата се твърди липса на заявено право от чл.15 до чл.22 от Регламент (ЕС) 2016/679. Така възприетото от ответното дружество не се споделя от настоящия съдебен състав. Съгласно чл.12 §1 от Регламент (ЕС) 2016/679, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15- 22 и чл.34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Съгласно чл.12 §2 от Регламент (ЕС) 2016/679, администраторът съдейства за упражняването на правата на субекта на данните по членове 15- 22. В случаите, посочени в чл.11 §2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. В чл.12 §3 на Регламент (ЕС) 2016/679 е предвидено, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15- 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, който може да бъде удължен с още два месеца. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. В случая, горецитираните разпоредби не са спазени от ответника по жалбата. Подаденото от жалбоподателя заявление е във връзка с упражняване на правата му по чл.15- чл.20 от Регламент (ЕС) 2016/679 и съгласно §3 на чл.15 от Регламент (ЕС) 2016/679, администраторът е длъжен да предостави достъп до данните и копие от личните данни на субекта. Съгласно чл.15 §1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасяща се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администратора обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на достъп до данни по реда на чл.15, §1 от Регламент (ЕС) 2016/679 е нарушение на основните принципи за обработка на личните данни, предвидени в чл.5 §1, б. „а“ от Регламент 2016/679. С чл.12 §1 от Регламент (ЕС) 2016/679 администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и дали се обработват в съответствие с Регламент (ЕС) 2016/679, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламент (ЕС) 2016/679.

С оспорения отказ ответното дружество лишава жалбоподателя от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. Субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл.8 §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от Регламент (ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл.8, §2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Съдът не споделя твърдението на ответника, че съгласно чл.15 и чл.20 от Регламент (ЕС) 2016/679, физическото лице следва да получи точно копие от обработваните лични данни, а не носителите на същите. Както вече бе посочено, съгласно чл.15 §1 от Регламент (ЕС) 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, включително и информация относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията, въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност, администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването (чл.12, §1 от Регламента) в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т.ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка– в случая наличието на сключени договори за кредит. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правата, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Действително, правото да се предостави копие на лични данни по смисъла на чл.15, §3 от Регламент (ЕС) 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т.ч. и под формата на компилация от данни. Но следва да се има предвид приетото в Решение на СЕС от 4 май 2023г. по дело C-487/21, че това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права.

Разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, ведно с приложенията им и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл.15 §1 от Регламент (ЕС) 2016/679.

Предвид изложеното, съдът приема, че ответникът по жалбата е следвало да предостави исканите копия от сключен договор за кредит с приложенията му, за да може жалбоподателят ефективно да упражни предоставените му с Регламента права. В този смисъл е актуалната съдебна практика- Решение № 1159 от 11.02.2025 г. на ВАС по адм. д. № 9474/2024 г., V о. и др.

Съдът счита, че с оглед ефективно упражняване на правата, предоставени му с Регламент (ЕС) 2016/679, жалбоподателят има право да получи достъп до обработваните му лични данни, визирани в подаденото заявление до „Кредирект“ ЕООД. В процесния случай не са налице и предпоставките по чл.37а ал.1 от ЗЗЛД, при които администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл.12 - 22 от Регламент (ЕС) 2016/679.

Въз основа на изложеното и като провери законосъобразността на оспорения акт по реда на чл.168 от АПК, съдът приема, че същият е незаконосъобразен. Жалбата като основателна следва да се уважи, като на основание чл.173, ал.2 и чл.174 от АПК преписката следва да бъде изпратена на администратора на лични данни- „Кредирект“ЕООД за ново произнасяне в 30- дневен срок от влизане в сила на решението, съобразно изложените мотиви от съда, които са задължителни относно приложението на материалния и процесуалния закон.

С оглед изхода на спора и на основание чл.143 ал.1 от АПК, претенцията на жалбоподателя за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на жалбоподателя направените от него по делото разноски в размер на 10,00 лева, представляващи внесена държавна такса. На основание чл.38 ал.2, във връзка с чл.38, ал.1, т.2 от ЗА, пълномощникът на жалбоподателя има право на адвокатско възнаграждение, с оглед представените по делото: договор за правна защита и съдействие за оказване на адвокатска помощ безплатно и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на пълномощника на жалбоподателя адвокатско възнаграждение в размер на 900,00 лева, който размер съответства на действителната фактическа и правна сложност на делото и е пропорционален спрямо извършената правна защита, при приложението на чл.36, ал.2 от ЗА и съобразяване на Решение на Съда на Европейския съюз от 25 януари 2024 г. по дело С-438/22.

Водим от горните мотиви, на основание чл. 172, ал. 2 във връзка с чл. 173, ал. 2 и чл. 174 от АПК, съдът

РЕШИ:

ОТМЕНЯ по жалба на П. Д. П. от [населено място], отказ на „Кредирект“ ЕООД с ЕИК *********, седалище и адрес на управление в [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П., в качеството му на администратор на лични данни да предостави на жалбоподателката копия на всички носители на личните ѝ данни, обработвани от дружеството по подадено заявление на П. Д. П. на 20.02.2025г..

ИЗПРАЩА преписката на „Кредирект“ ЕООД с ЕИК *********, седалище и адрес на управление в [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П., в качеството му на администратор на лични данни, за произнасяне по заявление на П. Д. П. от 20.02.2025г., при съобразяване с указанията по тълкуване и прилагане на закона в мотивите на настоящото решение, в 30-дневен срок от влизане в сила на решението.

ОСЪЖДА „Кредирект“ ЕООД с ЕИК *********, седалище и адрес на управление в [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П., да заплати на П. Д. П. от [населено място], [ЕГН], сумата 10,00 (десет) лева, разноски по делото.

ОСЪЖДА, да заплати в полза на адвокат Н. Р. от Адвокатска колегия – Бургас сумата 900,00 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на П. Д. П. от [населено място] безплатна адвокатска помощ и съдействие на основание чл.38 ал.1 т.2 от Закон за адвокатурата.

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните, ведно с препис от него.