Решение по дело №159/2025 на Административен съд - Стара Загора

Производството е по реда на чл.39 ал.1 от Закона за защита на личните данни вр. с чл.128 и сл. от АПК, образувано по жалбата на С. К. С. с постоянен адрес село Калитиново, община Стара Загора, представляван от редовно упълномощен адвокат против мълчалив отказ на „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК ********* да предостави информация относно това дали се обработват личните му данни, целите за обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити лични данни, както и да предостави копие на личните данни, включително носителите на тези лични данни - договори за заем, искания за кредит и други, в периода от 01.12.2019г до 08.01.2025г.

От съда се иска да бъде отменен като незаконосъобразен мълчаливия отказ за упражняване на правото на достъп до личните данни като се задължи ответника да предостави исканите документите и информация в 7-дневен срок от влизане на решението в сила.

Ответникът „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК *********, чрез процесуалния си представител иска от съда да бъде оставена без разглеждана жалбата като преждевременно подадена, преди изтичане на срока за отговор и след получаване на поисканите данни и информация, касаещи неговите лични данни. Искането е постъпило на 10.01.2025г на имейл адрес *****@********.** под формата на имейл, изпратен от упълномощения адвокат, заедно с прикачени два електронни файла – пълномощно, подписано с КЕП, и заявление по чл.37б ал.2 от ЗЗЛД. Искането е следвало да бъде предявено на имейл адреси info@ferratum,bg или на ******@********.**, които са посочени в т.13.1.10 от Политиката за поверителност. Искането е подадено на имейл адрес, който не е публикуван като адрес за кореспонденция с администраторите в регистъра, поддържан от Комисията за защита на личните данни и в Политиката за поверителност, достъпна на управлявания от дружеството уебсайт. Жалбата е подадена до съда на 14.02.2025г, което е по-малко от два месеца, определени по чл.53 ал.3 от ЗЗЛД за отговор по искането за достъп до личните данни.

В условията на евентуалност твърди, че жалбата следва да бъде отхвърлена като неоснователна с присъждане на разноските по делото и в двата случая. Твърди се, че дружеството няма задължение да представя копия от документи, нито пи салата на ОРЗД, нито на основание ЗЗЛД, тъй като не попадат в обхвата на правото на достъп до лични данни, предвидени в чл.15 от ОРЗД. Копие на лични данни не включва съдържанието си предоставянето на копия от документи, съобразно Становище на КЗЛД №Д-282/2013 от 19.07.2013г, което макар и прието преди влизането в сила на ОРЗД, има за предмет тълкуване на разпоредби, които са в сила в ЗЗЛД. Според това становище правото на достъп до личните данни не включва правото да се получат копия на документи, а единствено се отнася до потвърждение дали се обработват лични данни, информация за целите на обработване, за категориите данни и за получателите или категориите получатели; съобщение до субекта на лични данни, изготвени и предоставено в разбираема форма, съдържащо личните му данни, които се обработват, както и всяка налична информация за техния източник; информация за логиката на всяко автоматизирано обработване на лични данни, отнасящи се до субекта на данни, поне в случаите на автоматизирани решение по чл.34б /отменен/. Изрично надзорния орган е посочил, че понятието копие на лични данни, тълкувано като копие от документи на практика не кореспондира с идеята за естеството на информацията, която е предет на достъп и както е дефинирана в чл.28 ал.1 от ЗЗЛД.

Административен съд Стара Загора като взе предвид доводите на страните, съобразно доказателствата и закона, намира за установено следното: Жалбата е подадена на 14.02.2025г, а искането е заявено на 10.01.2025г. Съгласно чл.12 §3 и §4 от Регламент /ЕС/2-16/679 на Европейският парламент и на Съвета / ОРЗД/: Администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. ОРЗД се прилага пряко в държавите членки от 25.05.2018г и е задължителен в своята цялост. Правото на субекта на личните данни на достъп до личните му данни е право с директен ефект и позоваването на националния закон относно срок за упражняването му, чрез изпълнение на задълженията на администратора да предостави поисканата информация, включително носителите на личните данни, е неотносимо. Срокът е този, който чл.12 §3 от ОРЗД определя и този срок е изтекъл към 14.02.2024г. Жалбата не е преждевременно подадена. Искането е заявено на имейл адрес, който принадлежи на администратора, а това, че той не е обявен в убесайта му като адрес, на който да се упражни правото на достъп до личните данни, не е основание да се откаже изпълнение на задълженията на администратора. Съгласно чл.12 §2 от ОРЗД Администраторът съдейства за упражняването на правата на субекта на данните по членове 15—22. Дори и в случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15—22, освен ако докаже, че не е в състояние да идентифицира субекта на данните.

Съгласно чл.37б от ЗЗЛД субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, включително и по електронен път като следва да се съобрази, че текстовия запис, съхраняван в електронна форма е изявление в писмена форма, защото е електронен документ по смисъла на чл. 3 т. 35 от Регламент /ЕС/№910/2014г на Европейския парламент и на Съвета. След като писменото изявление е достигнало до администратора на лични данни, който ясно е заявил, че може да бъде адресат на електронно заявление, то възражението, че непременно искането трябва да е отправено само на двата електронни адреса, които считано от 12.08.2024г са определени за отправянето му е неоснователно. Противоречи на чл.37б от ЗЗЛД, според който редът за упражняване на правата по чл.15-22 от ОРЗД е отправяне на писмено заявление до администратора на лични данни или по друг определен от него начин. Ограничаването до два имейл адреса не е друг начин, различен от отправяне на писмено заявление, което е достигнало до него, но освен това след образуване на съдебното производство ответникът не извършва дължимото за упражняване на правото на достъп до личните данни предоставяне на исканите договори за кредит.

Във връзка с възражението, че непременно следва да се отправи искане на имейл адреси, които са съобщени на КЗЛД трябва да се има предвид разпоредбата на чл.37 от ОРЗД, според която администраторът публикува данните за контакт с длъжностното лице по защита на данните и ги съобщава на надзорния орган, но това му задължение не е относимо към реда за упражняване на правата по чл.15-чл.22 от ОРЗД. Отправено е писмено изявление в електронна форма на 10.01.2025г и е получено от ответното дружество, което до 10.02.2025г, както и към 14.02.2025г в рамките на едномесечния срок за обжалване на мълчаливия му отказ, формиран на 10.02.2025г, и до момента на приключване на устните състезания, не е извършило дължимите по чл.12 §3 вр. с чл. 15 §1 и §3 от ОРЗД действия по предоставяне на исканата информация и на копие от личните данни. Няма основание жалбата да бъде оставена без разглеждане като недопустима. Разгледана по същество тя е и основателна, защото ответното дружество нито твърди, нито установява, че му е било невъзможно да идентифицира субекта на личните данни, нито че има необходимост от удължаване на срока. Напротив ответното дружество се брани против ясно определеното му в чл.12 и сл. от ОРЗД задължение да предостави не само информацията по чл.15 §1 от ОРЗД, която изрично е поискана, но и копието на личните данни по чл.15 §3 от същия Регламент, които са в процес на обработване. Всъщност, това е основният му аргумент против основателността на жалбата като се твърди, че правото на копие на личните данни, които са в процес на обработване в никакъв случай, и на нито едно основание не може да се разбира като задължение за предоставяне на копие от договорите за кредит, стандартните европейски формуляри и исканията за кредит, но това противоречи на чл.6 от ОРЗД и на без да се предостави копие на личните данни субектът не би могъл да провери дали те се обработват законосъобразно по смисъла на чл.6 §1 от ОРЗД – въз основа на съгласие за обработването им за една или повече конкретни цели; обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор. Отрича се и задължението за прозрачност при обработване на личните данни, което гарантира правото на достъп на субекта до личните му данни и е уредено в Глава ІІІ Права на субекта на данни. Правото на получаване на копие на личните данни е елемент от правото на достъп на субекта на данните, поради което вън от съмнение е, че жалбоподателят има право и трябва да получи копие на договорите за кредит, стандартните европейски формуляри и на всички други носителите на личните му данни, които е поискал. Да се сведе правото на достъп до личните данни, признато на субекта на данните до информацията по чл.15 §1 от ОРЗД означава да се откаже прилагане на Правото на ЕС по отношение на право с директен ефект, което е достатъчно съществено нарушение и би имало за последица ангажиране отговорността на държавата. Няма нито едно правно основание, още по-малко становище на надзорния орган, който не разполага с правомощие да тълкува правото на ЕС – признато само на СЕС, за да се приеме, че първо срокът е два месеца, а не един, както разпорежда Регламента, действащ пряко в държавите-членки в своята цялост, а на следващо място да се изключи правото на копие от личните данни, които са в процес на обработване. Вън от разумно съмнение е, че само при предоставяне на копие на личните данни субектът на данните може да упражни в пълнота правото си на достъп до личните данни, предоставено му с цел да ги защити от незаконосъобразно обработване в нарушение на чл.6 от ОРЗД. Съгласно чл.5 на ОРЗД „Принципи, свързани с обработването на лични данни“ и по-конкретно задължението за отчетност, кореспондира с правото по чл.15 от ОРЗД, предоставено на субекта на личните данни. Внимание в настоящия случай следва да се обърне на чл.5 §1 буква б от ОРЗД, според който личните данни са събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели – ограничение на целите, който принцип, както и всички останали се гарантира от основния за прозрачност. Мълчаливият отказ е нарушение на принципа за прозрачност в дейността на администратора на лични данни. Принципът за прозрачност гарантира спазването на принципите на законосъобразност, добросъвестност, ограничение на целите, свеждане до минимум, точност, цялостност и поверителност при обработване на личните данни. Ако се отрече правото на копие на личните данни, това означава, че администраторът не носи задължения по ОРЗД, освен да посочи информацията по чл.15 §1 от същия Регламент, с което правото на достъп до личните данни ще остане без същественото си съдържание и предназначение за защита, която субекта има срещу възможността на администратора да не обработва личните му данни законосъобразно. Не може по този начин да се тълкуват ясните норми на чл.15 §3 от ОРЗД, защото това най-малкото не съответства на целите на правото на достъп, нито ги удовлетворява, което означава, че то се лишава от своето полезно действие. Съгласно чл.6 от ОРЗД целта на обработването е функция на основанието, поради което правото на субекта на лични данни да получи копие на договорите е вън от съмнение. В потвърждение на подхода, че правните норми разкриват своето съдържание като се вземат предвид на първо място общите принципи на нормативния акт и целите, които тяхното прилагане трябва да постигне, е самото заглавие на Глава трета, Раздел 1 от ОРЗД, озаглавен „Прозрачност и условия“ при упражняване на правата на субекта на данните. Следователно принципа на прозрачност е основната гаранция за правата на субекта на данните и ОРЗД в своите разпоредби, поместени в Глава трета не оставя място за разумно съмнение, че правото на информация включва и целите на обработване на личните данни, а те са функция на основанието или винаги администратора при поискване дължи да предостави и копие на това основание, защото правото на достъп на субекта на данните е изяснено в чл.15 от ОРЗД и на първо място в неговото съдържание са целите на обработването. Жалбоподателят е поискала присъждане на разноските по делото, които са в размер на 10лв. с подаване на жалбата. Упълномощеният адвокат е оказал безплатна правна защита и представителство, като е поискал присъждане на възнаграждение при условията на чл.38 ал.2 от ЗА вр. с чл.8 ал.2 т.10 от Наредбата за възнаграждения за адвокатската работа в размер на 900лв.

Мотивиран от изложеното и на основание чл. 172 ал.2 вр. с чл.173 ал.1 от АПК Административен съд Стара Загора

Р Е Ш И

ОТМЕНЯ мълчаливия отказ на „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК *********, формиран по Заявление от 10.01.2025г, подадено от С. К. С..

ВРЪЩА на „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК *********, Заявлението от 10.01.2025г, подадено от С. К. С. [ЕГН] за предоставяне на поисканата информация, включително на копие на договорите за кредит, на стандартните европейски формуляри и на всички носители на личните му данни, в срок от един месец, считано датата на влизане на решението в сила.

ОСЪЖДА „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК ********* да заплати на С. К. С. [ЕГН] сумата от 10лв / десет/, представляваща държавна такса по делото.

ОСЪЖДА „ФЕРАТУМ БЪЛГАРИЯ“ ЕООД ЕИК ********* на основание чл.38 ал.2 от ЗА да заплати на Еднолично адвокатско дружество М. БУЛСТАТ:*********, сумата от 900лв / деветстотин/, представляваща възнаграждение за един адвокат.

Решението подлежи на обжалване в 14-дневен срок от връчването му на страните пред ВАС на РБ.