Решение по адм. дело №435/2025 на Административен съд - Стара Загора

Производството е по реда на чл.39 ал.1 от Закона за защита на личните данни вр. с чл.128 и сл. от АПК, образувано по жалбата на С. В. В. с постоянен адрес град Стара Загора, [жк], представлявана от редовно упълномощен адвокат против изричен отказ на „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД [ЕИК] от 11.04.2025г да предостави носителите на лични данни, въз основа на които обработва личните данни на жалбоподателя, а именно договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от С. В. В. във връзка с отпускане на заем.

Жалбоподателят твърди, че в отговор на искане с правно основание чл.15 от ОРЗД и на 11.04.2025г ответникът посочва основанията за обработка на личните данни, целите на обработването като е посочено кои точно данни на жалбоподателя се обработват. Към отговора е изготвено удостоверение относно предоставяне на лични данни, както и Приложение №1 към Удостоверение от 11.04.2025г. В приложението са посочени единствено данните на жалбоподателя, които се обработват, както и извлечение от един договор за заем, въпреки че в ЦКР има данни за повече договори. Приложено е и копие на лична карта на жалбоподателката. Ответникът е посочил, че към отговора е приложил извлечения от съответните документи, съдържащи само онези лични данни, които към момента се обработвали. В отговор на искането за представяне на копие на личните данни – копия от документите, които ги съдържат, администраторът е заявил, че то не е елемент от съдържанието на правото на достъп до личните данни. Вместо това в съответствие с чл.15 от ОРЗД е достатъчно да бъдат представени извлечения от документи или от база данни, или обобщена информация, която включва всички лични данни. С не предоставянето на всички носители на лични данни, а само на извлечение от част от последния сключен договор, ответникът заявява отказ да предостави копия на носителите на лични данни на жалбоподателя, с което възниква правен интерес да се предяви искане до съда за отмяната му. Дружеството е задължено по силата на чл.12 от Регламента да предостави на субекта на данните на ясен и прост език, в прозрачна, разбираема и лесно достъпна форма всякаква информация, която се отнася до обработването на неговите лични данни. Всяка информация, която се отнася до обработването на личните данни включва и носителите на лични данни – от една страна, защото това е основанието за събиране на тези данни по смисъла на чл.6 буква „б“ от ОРЗД и от друга, защото копието на документите се желае от страна по него тоест няма предоставяне на конфиденциална информация, заради която да се откаже достъпа до тези данни. На основание чал.15 от ОРЗД жалбоподателят има право да получи от администратора достъп до личните си данни, които се обработват, както и информацията за целите на обработването на данните, получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, както и да получи копие от личните данни, които са в процес на обработване. Съобразно чл.20 от ОРЗД субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. В тази връзка, поради отказа да бъдат предоставени носителите на личните данни, субектът на данните не може да провери дали те се обработват на легитимно основание при положение, че не знае дали то изобщо съществува – копие от това основание, в случая договорите, не се предоставя. Дали данните се обработват на искането му за кредит, на разписания стандартен европейски формуляр или въз основа на договор за заем. Това обстоятелство не може да бъде установено, без да му бъде предоставен носителят на личните данни, въз основа на които те се събират. Жалбоподателят счита, че правото по чл.15 от ОРЗД не се свежда само до копие на данните по чл.15 §1 буква „б“ от ОРЗД, защото това е превратно и несъответно тълкуване на правна норма. Самият отказ да бъдат предоставени документите – носители на личните данни на жалбоподателя поражда съмнение относно основанието, на което се обработват. Съгласно Решение на съда на ЕС от 04.05.2023г във връзка с преюдициално запитване, което се отнася до тълкуването на чл.15 от Регламент /ЕС/ 2016/79 на Европейския парламент и на Съвета от 27.04.2016г относно защитата на физическите лица във връзка с обработването на личните данни и свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, по дело С-487/21г : „правото да се получи от администратора копие на личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица“.

От съда се иска да бъде отменен изричния отказ от 11.04.2025г на администратора на лични данни да предостави копия на личните данни по чл.15 §3 от ОРЗД и ответникът да бъде задължен да представи носителите на лични данни, въз основа на които обработва данните на жалбоподателката, а именно договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от С. В. В. във връзка с отпускане на заем за периода от 06.02.2019г до 06.02.2025г, в срок от 7 дни от влизане в сила на решението. Претендира присъждане на разноските на делото. Упълномощеният адвокат претендира присъждане на възнаграждение на основание чл.38 ал.2 от Закона за адвокатурата.

Ответникът „ИЗИ АСЕТ МЕНИДЖМЪНТ“ АД [ЕИК] твърди в писмен отговор против жалбата, че е удовлетворил изцяло подаденото искане за упражняване на правата по чл.12 и чл.15 от ОРЗД, поради което и производството по делото е без предмет и следва да бъде прекратено. Искането до съда за отмяна на изричен отказ да се предоставят копия от договори, стандартни европейски формуляри, погасителни планове и всички останали документи, подписани от жалбоподателката излиза извън обхвата на правото по чл.15 от ОРЗД и не може да бъде предмет на съдебен контрол за законосъобразност.

В условията на евентуалност заявява, че жалбата е неоснователна, защото задължението на администратора е да предостави копие на обработваните лични данни, но не и копия на документи или носители, които ги съдържат. Администраторът има правото и задължението да направи преценка как е удачно и ефективно по разбираем начин да обясни и предостави актуална и точна информация относно обработваните лични данни и само в случай на необходимост и поради съответното естество на обработката на данни, което го изисква, да предостави и копие от носителите на данни. Тази възможност е в оперативната самостоятелност на администратора на лични данни. Копирането на носители е вид административна услуга, което няма общо със същността на правото на достъп до личните данни. Правото на достъп не може да се отъждестви с право на копия от носители на лични данни и представлява неправилно приложение на материалния закон. Администраторът на данни не желае да нарушава закона, поради което с уведомлението от 11.04.2025г и приложеното към него удостоверение е предоставил копие на обработваните лични данни, включително е направил извадка, чрез екранни снимки от системата и договора за паричен заем. По този начин в кратка и разбираема форма обяснява целит, средствата, основанията, сроковете и посочва относимите към това фокусирано изложение извадки от носителите на лични данни. Изпълнени са изискванията за съдържание на отговор при искане за достъп до лични данни по смисъла на чл.15 от ОРЗД, поради което не е налице нарушение на правото на достъп или други права на субекта –жалбоподател, свързани с обработката на лични данни. Следователно, ако се приеме, че има акт на администратора, то няма правен интерес от неговото обжалване, защото не е засегната неблагоприятно правната сфера на жалбоподателя, защото той настоява да получи копие от договори, стандартни европейски формуляри, погасителни планове и всички останали документи, които е подписала С. В. В. за периода от 06.02.2019г до 06.02.2025г., с които се е запознала, а това означава злоупотреба с правото на съдебно обжалване.

По доказателственото искане за информация от БНБ за това за колко кредита е подадена информация от „ИЗИ АСЕТ МЕНИДЖМЪНТ“ АД относно жалбоподателката , както и за справка за кредитната история на С. В. В. с „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД за периода от 06.02.2019г до 06.02.2025г е направено възражение за не относимост с довода, че тази информация няма да докаже съществуването на изричен отказ.

Към отговора е представено и писмено становище по същество, с искане да бъде даден ход на делото в отсъствие на ответника. На 11.04.2025г дружеството е отговорило по заявлението за достъп до лични данни, подадено чрез упълномощения адвокат. В отговора е предоставена пълна и ясна информация за обработваните лични данни, целите на обработването, категориите данни, получателите, източниците и сроковете за съхранение, както и копия на актуални документи, съдържащи релевантни лични данни. Субектът е информиран и за правата си по ОРЗД, включително правото на изтриване и корекция на данните на база получената в отговора информация. Издадено е удостоверение за това, че на субекта се предоставя пълно и точно копие на всички лични данни, които дружеството обработва за него. Потвърдено е, че не се съхраняват или обработват други лични данни за лицето, извън предоставените. Към удостоверението са приложени копия на основни и допълнителни лични данни, които в момента се обработват от дружеството, чрез актуални извадки от вътрешна база данни, отразяващи текущото състояние и обхвата на обработката, както и от договорни документи, включително актуален документ за самоличност, което напълно удовлетворява изискванията на чл.15 от ОРЗД и отговаря на утвърдената съдебна практика, съгласно която администраторът е длъжен да предостави ясна и добре структурирана пълна информация за личните данни, които са в процес на обработка към момента на отговора. Това удостоверение гарантира пълен и прозрачен достъп до личните данни и защитава правата на трети лица и не разкрива конфиденциална или защитена информация. Съгласно чл.15 ал.3 от ОРЗД и съдебната практика /дело С-487/21/, администраторът е задължен да предостави личните данни, но не и пълни копия на документи, освен ако това не е необходимо за ефективно упражняване на правата на субекта .В решението на СЕС изрично е посочено, че когато личните данни могат да бъдат предоставени адекватно в обобщена и разбираема форма – както е в настоящия случай, тогава не е необходимо да се предоставят оригинални документи. Ако законодателят е искал да задължи администратора да предоставя носителите на лични данни, то това задължение би било изрично записано в ОРЗД. Подобно изискване би наложило неоправдана административна тежест, особено с оглед на множество не актуални и прекратени договори, чието търсене и предоставяне би било несъразмерна тежест, противоречаща на принципа за пропорционалност и ефективност, залегнал в Регламента. Предоставени са извадки само от актуалния и действащ договор, който отразява реалното състояние на текущата обработка на личните данни, с цел да изпълни изискванията на чл.15 от ОРЗД по ясен, пълен и разбираем начин. Осигуряването на копия от всички сключени договори с клиента, включително такива, които не са действащи, прекратени или не относими към настоящата обработка на личните данни е непропорционално и натоварващо, имащо за последица излишна административна тежест и предоставяне на не актуална информация. Правото на достъп е до тези лични данни, които се обработват към настоящия момент, а не до историческа документация, свързана с предходни взаимоотношения. Освен това предоставянето на пълни копия на множество договори може да засегне правата на трети лица, включени в тези документи, и да доведе до разкриване на защитена или конфиденциална информация, което противоречи на принципните на минимизиране и ограничаване на достъпа, залегнали в Регламента.

Съгласно съображение 63 и чл.15 ал.4 от ОРЗД, администраторът има право да избере формата за предоставяне на копие – било то структурирана справка, таблица, електронно или хартиено копие. Изискването аз задължително предоставяне на пълни копия на договори би противоречало на принципите на Регламента. Решение на СЕС по дело С-487/21г потвърждава, че няма автоматично задължение за предоставяне на оригинални носители, а трябва да се направи индивидуална оценка дали това е необходимо за упражняване на правото на достъп, която е извършена в настоящия случай от администратора. Основната цел на правото на достъп е да осигури на субекта информация за обработваните лични данни и условията за обработване, за да се може да се провери дали те се обработват законосъобразно и да упражни други свои права по ОРДЗ. Правото се отнася до самите данни, а не до документите, в които те се съдържат. Това е потвърдено в Годишния отчет на КЗЛД от 2022г, в който се посочва, че правото по чл.15 от Регламента се отнася до извадка от обработваните данни и не включва задължение за предоставяне на копия от документи. В свое становище №Д-282/2013г КЗЛД уточнява, че правото не включва получаване на копия от документи, създавани или съхранявани от администратора. Становището е валидно и при действието на ОРЗД, защото разпоредбите му потвърждават този подход. Подобна линия е застъпена и в практиката на Съда на ЕС и е потвърдена от Насоки 01/2022г на Европейския комитет по защита на данните, които изясняват, че задължението за предоставяне на копие обхваща само личните данни, а не носителите, в които те се съдържат. Тази позиция е подкрепена и от съединени дела С-141/12 и С-372/12, където е установено, че е достатъчно лицето да получи пълна справка за личните си данни в разбираема форма, без задължение за предоставяне на конкретни документи. Генералният адвокат в своето Заключение по тези две дела, относно преюдициално тълкуване на чл12 от Директива 95/46, която е отменена с Регламент /ЕС/2016/679 на ЕП и на Съвета, заявява, че Директивата не установява право на достъп до никакъв конкретен документи или преписка, в които се изброяват или ползват лични данни. Тя не уточнява конкретно и материалната форма, в която трябва да бъдат предоставени на разположение личните данни. По силата на чл.12 от Директива 95/46 държавите членки разполагат със значителна свобода на преценка да определят формата, в която да бъде осигурен достъп до личните данни като вземат предвид материалната форма, в която съществува тази информация и може да бъде предоставена на физическото лице, типа на личните данни и целите на правото на достъп. Следователно правото на достъп не налага задължението за предоставяне на копия на документи, а изисква пълна, точна и разбираема информация за личните данни, която да позволи на субекта да упражни своите права ефективно. Допълнително исканите документи са предоставени при сключване на договорите, което отхвърля твърденията в жалбата, че той не е бил запознат с договорните отношения и не може да потвърди легитимността на обработката без повторното предоставяне на документите. Освен това в стандартния европейски формуляр и погасителните планове не се съдържат лични данни и не попадат в обхвата на правото на достъп. Субектът разполага с други законови възможности за достъп до тази информация – например по Закона за потребителския кредит. Следователно искането за тези документи по реда на чл.15 е неоснователно. Не се прилага чл.20 от ОРЗД, защото обработката не е изцяло автоматизирана и в този смисъл е отговорът на администратора. Претенциите за копия от договори и други документи са предмет на гражданското и търговското право, но не и на административното. При наличие на конкретни правни спорове жалбоподателят следва да използва гражданско-правните механизми, а не административен контрол. Регламентът предоставя на всеки отделен администратор правото и задължението да извърши индивидуална преценка и оценка на обстоятелствата, за да определи адекватна форма и обхват на предоставянето на данните с оглед постигането на баланс между правото на достъп и защитата на други легитимни интереси. Тази индивидуална оценка е ключов елемент от прилагането на принципите на пропорционалност и минимизиране на данните, които са в сърцевината ОРЗД. По тази причина цитираната съдебна практика не може да бъде прилагана автоматично към всеки случай. Правото на достъп не е абсолютно и безусловно право на предоставяне на всички документи, а право на ефективен и смислен достъп до личните данни. Ответникът счита, че потребителят е този, който следва да съхранява екземпляр от договора, сключен в него интерес, а търговецът, макар и по-силна страна не носи задължения, излизащи извън обхвата на правото на защита на личните данни. Администраторът не е отказал достъп като е предоставил актуална извадка от договора, с което е отговорил на изискванията на чл.15 от ОРЗД.

От съда се иска жалбата да бъде оставена без разглеждане или да бъде отхвърлена. По претенцията за присъждане на възнаграждение за един адвокат се възразява, че доказателства за съществуване на причините за оказване на безплатна правна помощ не са предоставени, поради което да бъде отказано присъждане на възнаграждение, а ако бъде уважено искането на адвоката, то размера да бъде намален до разумен, съобразно сложността на делото и защитата. Претендира се присъждане на възнаграждение за юрисконсулт.

Административен съд Стара Загора като взе предвид доводите на страните, съобразно доказателствата и закона, намира за установено следното: Жалбата е подадена на 22.04.2025г. в рамките на указания 14-дневен срок, считано от 11.04.2025г. и от лице, на което не са предоставени поисканите носители на лични данни, въз основа на които дружеството обработва данните му, а именно всички договори за кредит, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от него във връзка с отпускане на кредити за периода 06.02.2019г до 06.02.2025г. Видно от Справка, предоставена от БНБ в ЦКР има информация за сключени между страните потребителски договори за кредит от 11.03.2020г, 27.10.2020г 04.04.2023г, които не са активни, но срокът от пет години за тяхното съхранение не е изтекъл, а това действие е обработване на лични данни, и един активен от 14.05.2024г. Следователно и съгласно изявленията на страните спорът по делото е правен – за правото и съответното му задължение да се предоставят всички носители на лични данни, за да се извърши проверка на обработваните данни и в този смисъл необходимо ли е предоставянето на носителите на лични данни за упражняване на правото на достъп по смисъла на чл.15 от ОРЗД.

Към Удостоверението относно предоставяне на лични данни са приложени извлечения от документи, които съдържат обработвани от администратора лични данни, а именно: стр.1-ва, страни, член 1 и член 2 от Договор за паричен заем, сключен на 14.05.2024г, както и заключителната част от договора, съдържаща подписите на заемателя и заемодателя; предложение за сключване на договор за паричен заем, предложение за паричен заем, декларация за информационни права на субектите на лични данни-кредитоискатели; декларация за произход на средства, декларацията по чл.42 от ЗМИП, предоставеното копие на лична карта, досие на клиент към 11.04.2025г, съдържащо три имена, ЕГН, адреси, месторабота, телефон, три имена на трето лице за контакт и неговия телефон, извлечение от база данни, наименовано копие на личните данни - три имена, ЕГН, номер на лична карта, дата на издаване и срок на валидност, адрес по лична карта, телефон и резултатите от проверката в Регистър БДС , че документа е валиден и информация, че е извършена справка в ЦКР, без резултатите от нея.

По искането за предоставяне на копия от всички носители на лични данни, включително договори, платежни документи и други администраторът е информирал жалбоподателя, че към отговора са приложени извлечения от съответните документи, съдържащи само тези лични данни, които към момента се обработват от Дружеството. Съгласно чл.15 ал.3 от Регламент ЕС 2016/679 администраторът на лични данни е длъжен да предостави копие от личните данни, които се обработват, но не и копия от самите документи в тяхната цялост. Това тълкуване е потвърдено от Решението на Съда на ЕС по дело С-487/21, в което се подчертава, че задължението за предоставяне на информация се отнася до самите лични данни, включително когато те се съдържат в документи, но не и до цялостни копия на тези документи, освен когато това е необходимо, за да може субектът на данните да упражни правата си по Регламента ефективно. В този смисъл, предоставянето на извлечения от документи и база данни или обобщена информация, която включва всички лични данни, е в съответствие както с изискванията на Регламента, така и с практиката на Съда на ЕС. Данните се представят по начин, който гарантира яснота, пълнота и разбираемост спрямо целите на подаденото искане и в рамките на посочения от Вас период. Част от документите, свързани с договора- например стандартния европейски формуляр или Общи условия, не съдържат лични данни. Поради това те не попадат в обхвата на Регламент ЕС 2016/679 и не подлежат на предоставяне. Личните данни са получени по време на кандидатстването и от съответните компетентни органи – МВР по данни от Регистър БДС, от НОИ за трудовите правоотношения, ЦКР относно данни за други кредити, и БНБ относно данните в Регистъра на банковите сметки и сейфове. Личните данни се съхраняват за времето, предвидено в закона и за периода, необходим за изпълнение на целта, за която са събрани – срокове конкретни за съхранение на личните данни, в това число и информацията от посочените Регистри, която не е предоставена на лицето, но също е лични данни, не са посочени в отговора.

Съгласно цитираното до тук писмено изявление на ответника се налага извода, че е налице изричен отказ да бъдат предоставени носителите на лични данни – договори ,стандартни европейски формуляри, погасителни планове и всички други документи, подписани от жалбоподателя във връзка с отпускане на заем, заявен от лице, което има качеството на администратор на личните данни на жалбоподателя. Следователно налице е материално правоотношение между жалбоподателя и ответника по делото с обект правото на достъп до личните данни по смисъла на чл.15 от ОРЗД. Правоотношението между страните е по повод искане за упражнявана правото на достъп до личните данни по чл.15 от ОРЗД, а дружеството, до което е отправено обработва личните данни на жалбоподателя. Следователно спорът относно съдържанието на правото на достъп и съответното му задължение е материално правен, а не процесуално правен относно правен интерес и предмет на съдебен контрол. Правото на жалба възниква от момента, в който бъде издаден акт, извършено действие или бездействие на администратора на лични данни, за което се твърди да засяга правата на субекта на личните данни – правен интерес от съдебна защита в процесуален смисъл. Дали правата, чиято защита се търси са засегнати или не, е въпрос на основателност на жалбата. При заявен изричен отказ да бъде удовлетворено искане на субекта на данните по чл.15 т.3 от ОРЗДС е налице и годен предмет на съдебен контрол за законосъобразност. Ето защо жалбата е допустима – налице е правен интерес за жалбоподателя да иска от съда да разгледа по същество отправеното искане за отмяна на изричния отказ за предоставяне на договорите, стандартните европейски формуляри, погасителни планове и документи, подписани от него във връзка с отпускане на заем.

Изричния отказ по смисъла на чл.15 от Регламент /ЕС/2016/679 на Европейският парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), не може да бъде оправдан с мотивите за неговото постановяване, поддържани и пред съда с отговора против жалбата и в писмена защита по същество. Ответникът твърди, че заявеното искане е вън от обхвата на чл.15 от ОРЗД и попада под Закона за потребителския кредит като потребителска услуга, съответно искането касае граждански правоотношения, за правата по които не се отнася правото на достъп до лични данни. Поддържа, че администраторът има право да прецени как е удачно и ефективно по разбираем начин да обясни и предостави актуална и точна информация относно обработваните лични данни и само в случай на необходимост и поради съответното естество на обработката на данни, което го изисква, съответно да предостави и копие от носителите на данни. Субектът не разполага с право, а с възможност да получи копие от носителите на данни, което е изцяло в оперативната самостоятелност на администратора на лични данни. Становището на ответника само по себе си съдържа причините, поради които изричният отказ е материално незаконосъобразен и представлява отказ да се прилага Правото на ЕС така, както е тълкувано от Съда на ЕС.

По силата на чл.15 §4 от ОРЗД субекта на данните има право на получаване на копие, на което съответства задължението по §3 за предоставяне на копие от личните данни, които са в процес на обработване. Копие на личните данни не може да има за съдържание копиране на част от който и да е документ или база данни, в който се съдържат лични данни, необходими за идентификация на физическо лице, най-малкото защото би съвпаднато с категориите лични данни. Администраторът не дължи да съобщи част от личните данни, а да предостави копие на всички лични данни като спази единствено ограничението с предоставянето на копие да не засяга неблагоприятно правата на трети лица, а той самият не е трето лице, нито се посочва да има други страни по договорите. По определението на чл.4 §1 от ОРЗД лични данни са всяка информация, свързана с идентифицирано физическо лице, а едно физическо лице може да бъде идентифицирано включително и с икономическа информация, отнасяща се до него. Освен това, отново по определението на чл.4 §2 от ОРЗД обработване на лични данни включва и съхранение на данни, които отговарят на определението за лични данни. По тази правна причина не може да се приеме за основателно твърдението, че данните, които администратора обработва са само тези, които са предоставени, както и че е предоставил копие на всички лични данни, чрез извлечение от първа и последна страница на един сключен между страните договор. Обработване на лични данни е и съхраняването, а лични данни са и всяка икономическа информация за физическото лице. Договорите за кредит, ведно с погасителните планове, стандартните европейски формуляри и документите, подписани във връзка със сключването и изпълнението им съдържат информация, която представлява лични данни и до тази информация техния субект има право на достъп, чрез получаване на копие от документите, в които тя се съдържа. В противен случай не може да упражни правата си по чл.16 и чл.17 от ОРЗД, както и да провери за спазване на чл.6 от същия Регламент. Администраторът по аргумент от чл.15 §4 от ОРЗД няма никакво право на преценка дали да предостави или не копие от личните данни на техния субект. Длъжен е да го направи, като при предоставяне на копия на исканите документи, с което ще удовлетвори правото на достъп до всички поискани лични данни, е длъжен да съобрази правата и свободите на други лица тоест да не ги разкрие. Само това задължение е граница на правото на достъп до личните данни, които се обработват по определението на чл.4 §1 и §2 от ОРЗД. Без да получи копие на документите, съдържаща информация, представляващи лични данни, които се обработват, включително съхраняват, субекта на правото на достъп до тази информация е напълно лишен от ефективното средство за защита, защото не може да провери дали личните му данни се обработват съобразно чл.6 от ОРЗД. Отказът да се предоставят договорите и погасителните планове е отказ да се предостави достъп до всички лични данни, които администраторът обработва и се препятства правото на субекта да провери дали е необходимо да бъдат обработвани, за каква цел се обработват, включително дали е изтекъл срокът за тяхното съхранение. Следователно той не може да прецени дали е налице необходимост да поиска коригиране или изтриване на личните му данни, на кои от тях тоест няма съмнение, че предоставянето на копие на личните данни, които администраторът ползва или съхранява, е абсолютно необходимо условие за упражняване на правата по чл.16 и чл.17 от ОРЗД. С упражняване на това право не се засягат и решават спорове за изпълнението на договорите, а се проверява дали администраторът, който разполага с цялата информация, представляваща лични данни по определението на чл.4 §1 от ОРЗД, и която информация е поискана, но не е предоставена в цялост, се използва за целите на действащ/и договор/и между страните. Целта на ОРЗД не е да се съобщят някои категории лични данни като три имена, ЕГН, номер и валидност на лична карта, адреси, телефонен номер, място на работа, а да се предостави цялата информация, отговаряща на чл.4 §1 от ОРЗД, поради което и диспозитива на Решение по дело С-427/21г на Съда на ЕС е следния: Член 15, параграф 3, първо изречение от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. С изричния си отказ администраторът препятства упражняване на правото по чл.15 т.3 изречение второ от ОРЗД. Субекта на личните данни не може да упражни никакъв контрол върху спазване на чл.6 от ОРЗД, нито да прецени дали да заяви правата си по чл.16 и чл.17 от същия Регламент. Поведението на ответника е в разрез с принципа за прозрачност. Съдържанието на правото на достъп до лични данни по чл.15 от ОРЗД не се изчерпва с буквалното копиране на някои категории лични данни от документа за самоличност и телефонния номер на заемодателя, защото само това е предоставил администратора, при това няколко пъти и само формално е посочил, че ползва тези лични данни, съгласно закона. Това разбиране и начин на изпълнение на задължението на администратора обезсмисля предмета на правото, а имено достъп до личните данни, което се предоставя с цел ефективната им защита, чрез проверка от страна на субекта на тяхното законосъобразно обработване. При предоставяне само на някои от категориите лични данни по чл.15 т.1 буква „б“ от ОРЗД и тяхното конкретно съдържание не се изпълнява задължението на администратора да удовлетвори правото на достъп на субекта до неговите лични данни. Напротив, разбирането за съдържанието на чл.15 т.3 от ОРЗД като копиране на личните данни от документа за самоличност, които са посочени в последния сключен договор е неизпълнение на задължението на администратора за прозрачното им обработване. Не се касае за право да се съобщят личните данни от документа за самоличност и мястото на работа, а за достъп до всички лични данни и този достъп изисква предоставяне на копия от целите поискани документи. Само по този начин субекта на данните може да провери дали обработването е необходимо за изпълнение на действащи договори, дали данните по чл.4 §1 от ОРЗД, включително за икономическото му положение са верни, или не, съответно да предяви правата си по чл.16 и сл. от ОРЗД. Упражняването на правото по чл.15 §3 вр. с §4 от ОРЗД осигурява и е необходимо за упражняване на правата по чл.6, чл.16 и чл.17 от ОРЗД. Контролът върху личните данни принадлежи на лицето, не е в преценката на администратора да решава кои лични данни са необходими на субекта, за да упражни правата си по Регламента. Не може задълженото лице да има власт над правото, чието удовлетворяване дължи. Тезата, че чл.15 §4 от ОРЗД дава право на оперативна самостоятелност на администратора да решава дали е необходимо предоставянето на копия на всички лични е тълкуване по метода на абсурда и само по себе си доказва, че ако обема на правото на достъп зависи от волята на задължения администратор, то тогава не е право, а подчинение. Договорите за кредит и свързаните с тях документи, подписани от жалбоподателя съдържат в своята цялост информацията по чл.4 §1 от ОРЗД, поради което администратора дължи копия на целите документи, които използва и съхранява. Освен това, и именно защото администраторът дължи, а не преценява, е поставено условието, когато изпълнява задължението си да не засяга правата на третите лица тоест да не разкрива техните лични данни. В противен случай тази граница не би била необходима. Копие на личните данни не може да означава копие на личната карта и повтаряне на личните данни от нея по няколко пъти на различни места – като извлечение от база данни, като копие на извлечение от договор за кредит. В тази връзка следва да се посочи, че администраторът предоставя копия от декларации за произход на средства и за запознаване с информационни права, но не предоставя в цялост договорите за кредит и другите документи, подписани от субекта на данни във връзка с действащи и съхранявани договори, а те съдържат информация, представляваща лични данни.

Не правилно е разбирането на ответното дружество, че правото по чл.15 т.3 от ОРЗД попада под уредбата на Договора за потребителския кредит, както и че с личните данни, които се съдържат в целия договор и с другите, подписани от субекта документи е запознат при тяхното подписване – това всъщност означава твърдение, че до тези данни лицето е получило достъп, когато всъщност то самото ги е предоставило на администратора. Достъп се иска и дава до данните, които администраторът е получил след като му бъдат предоставени, за да се провери за какви цели ги използва. Обжалваният отказ е нарушение на принципа за прозрачност в дейността на администратора на лични данни, а този принцип остава без приложение, ако не се спазва правото на достъп до лични данни. Принципът за прозрачност и правото на достъп на субекта до всички негови лични данни по чл.4 §1 от ОРЗД гарантира спазването на принципите на законосъобразност, добросъвестност, ограничение на целите, свеждане до минимум, точност, цялостност и поверителност при обработване на личните данни. Ако се отрече правото на получаване на копие от документите, съдържащи личните данни това ще означава, че администраторът дължи само информацията по чл.15 §1 от същия Регламент, с което правото на достъп до личните данни ще остане без същественото си съдържание и предназначение за защита, която субекта има срещу възможността на администратора да не обработва личните му данни законосъобразно, включително да продължи да се позовава на отпаднали основания, за да ги съхранява и използва.

Жалбоподателят е поискал присъждане на разноските по делото, които са в размер на 10лв. с подаване на жалбата. Упълномощеният адвокат е оказал безплатна правна защита и представителство /договор на лист … по делото/, като е поискал присъждане на възнаграждение при условията на чл.38 ал.2 от ЗА вр. с чл.8 ал.2 т.10 от Наредбата за възнаграждения за адвокатската работа в размер на 900лв, който е минимално определения. Преценката за оказване на безплатна правна помощ не подлежи на съдебен контрол, а само на адвоката.

Мотивиран от изложеното и на основание чл. 172 ал.2 вр. с чл.173 ал.1 от АПК Административен съд Стара Загора

Р Е Ш И

ОТМЕНЯ изричен отказ от 11.04.2025г на „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД [ЕИК], постановен по Заявление на С. В. В. от 07.02.2025г, да предостави всички носители на лични данни по сключените договори за кредит – договорите, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от него във връзка с договорите за кредит в периода от 06.02.2019г до 06.02.2025г.

ВРЪЩА на „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД [ЕИК], Заявлението от 07.02.2025г, подадено от С. В. В., за предоставяне в срок от един месец, считано от влизане на решението в сила, на всички носители на лични данни по сключените на 11.03.2020г, 27.10.2020г, 04.04.2023г и 14.05.2024г договори за потребителски кредит – договорите, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от С. В. В. във връзка с договорите за кредит.

ОСЪЖДА „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД [ЕИК] да заплати на С. В. В. [ЕГН] сумата от 10лв /десет/, представляваща държавна такса по делото.

ОСЪЖДА „ИЗИ АСЕТ МЕНИЖДМЪНТ“ АД [ЕИК] на основание чл.38 ал.2 от Закона за адвокатурата да заплати на Еднолично адвокатско дружество М. БУЛСТАТ:*********, сумата от 1080лв с ДДС / хиляда и осемдесет, представляваща възнаграждение за един адвокат.

Решението подлежи на обжалване в 14-дневен срок от връчването му на страните пред ВАС на РБ.