Решение по адм. дело №317/2025 на Административен съд - Кюстендил

З. Т. М., [ЕГН] от [населено място] дол, [улица][адрес], съдебен адрес [населено място], [улица], ет.*, ап.*, Адвокатско дружество „М.“ оспорва изричен отказ на администратора и обработващия лични данни „***“ ЕООД, [ЕИК] да изтрие лични данни от собствените си регистри, както и от Централния кредитен регистър /ЦКР/, обективиран в отговор изх.№СТМТ/2025/06/00071-out. Изложени са съображения за незаконосъобразност на акта, поради противоречието му с материалноправните разпоредби. Претендират се разноски.

Ответникът чрез пълномощника изразява становище за неоснователност на жалбата, по съображения, изложени в писмена защита. Претендира се юрисконсултско възнаграждение.

Кюстендилският административен съд след преценка на доводите и възраженията на страните и с оглед събраните по делото доказателства, приема за установено следното:

С решение №122/24.04.2025г., постановено по гр.д.№207/2025г. по описа на Радомирски районен съд /влязло в сила – страните не спорят по този факт/ е признато за установено по отношение на „***“ ЕООД, [ЕИК], че З. Т. М. от [населено място]  не дължи на дружеството сумата в размер на 479 лв. по договор за кредит от 04.07.2016г. От съдебния акт се установява, че между жалбоподателката и „***“ ЕАД е бил сключен договор за кредит от 04.07.2016г., като вземането по него е прехвърлено впоследствие на „***“ ЕООД, [ЕИК] с договор за цесия от 11.05.2017г.

З. Т. М. подава на 12.06.2025г. молба до дружеството - ответник, в която изрично заявява, че няма да заплати доброволно сумата от 479 лв., доколкото вземането е погасено по давност и прави искане за изтриване на личните й данни от системите на дружеството, които ги обработват и от ЦКР.

Изготвено е становище от Д. Б. – длъжностно лице по защита на личните данни, определено от администратора на лични данни „***“ ЕООД, в което е посочено, че всички данни, свързани с погасеното вземане ще бъдат изтрити след изтичане на нормативно установените срокове по чл.15, ал.4 от Наредба №26/23.04.2009г. за финансовите институции и чл.19а, ал.2 от Наредба №22/16.07.2009г. за Централния кредитен регистър. Тези срокове са счетени като основание за прилагане на изключението по чл.17, §3, б.“б“ и „д“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните-ОРДЗ).

„***“ ЕООД в качеството на администратор на лични данни постановил отказ да изтрие личните данни на З. Т. М. от собствените си регистри, както и от ЦКР, обективиран в отговор изх.№СТМТ/2025/06/00071-out.

С оглед така установената фактическа обстановка по делото съдът намира жалбата за допустима, като подадена в срок, от процесуално легитимент субект и пред компетентен съд.

След служебна проверка законосъобразността на оспорения акт по реда на чл.168 от АПК и на основанията по чл.146 от АПК, съдът счита следното:

З. М. е направила искане по чл.37б от ЗЗЛД до администратор на лични данни – „***“ ЕООД /същия попада в хипотезата на определението по чл.4, т.7 от ОРДЗ, което предвижда, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка/. Жалбоподателката е субект, чиито лични данни са обработвани от дружеството-ответник по силата на договор за цесия между „***“ ЕАД и ответника. Съгласно чл. 4, § 1 от ОРДЗ „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано (субект на данни); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Според чл.4, §2 от ОРДЗ „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Т.е. съдът приема, че е налице упражняване на права на субекта на данни по чл.17, §1, б. „а“ от ОРЗД, вр. чл.37б от ЗЗЛД, спрямо администратор на лични данни по см. на чл.4, т.7 от ОРЗД.

С оглед гореизложеното, задължено лице да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените в чл.17, §1, б. „а“-„е“ от ОРДЗ основания, е администратора на лични данни, който е компетентния орган да се произнесе със съответен акт по заявления/искания от субект на данни за упражняване на права по посочения текст от ОРЗД. В случая „***“ ЕООД в качеството на администратор на лични данни е постановил отказ да изтрие личните данни на жалбоподателката, обективиран в отговор изх.№СТМТ/2025/06/00071-out. Актът е издаден от името на дружеството, но е подписан от пълномощника юрисконсулт М. М.. От доказателствата по делото не се установява обаче това лице да разполага с компетентност за издаване на административни актове от името на администратора на лични данни по реда на Регламента. Т.е. оспореният отказ се явява подписан не от представляващия юридическото лице, нито от друго лице в хипотеза на изрично прехвърляне на компетентност от администратора на лични данни по см. на ОРЗД – съгласно чл.4, §17 от ОРДЗ „представител“ означава физическо или юридическо лице, установено в Съюза, което, назначено от администратора или обработващия лични данни в писмена форма съгласно член 27, представлява администратора или обработващия лични данни във връзка със съответните им задължения по настоящия регламент. В този смисъл съдът формира извод, че обжалвания отказ е издаден от некомпетентен орган и като такъв се явява нищожен. Предвид наличието на отменителното основание по чл.146, т.1 от АПК съдът ще обяви нищожността на отказа, обективиран в отговор изх.№СТМТ/2025/06/00071-out.

На основание чл.173, ал.2 от АПК преписката ще се изпрати на компетентния орган „***“ ЕООД за произнасяне по молбата на З. Т. М. с правно основание чл.17, §1, б. „а“ от ОРЗД, в 14 дневен срок от влизане в сила на съдебния акт.

С оглед изхода от правния спор разноски се присъждат на жалбоподателката в размер на 10 лв. заплатена държавна такса. Разноски за адвокатско възнаграждение не се присъждат, тъй като не са представи доказателства за реалното му заплащане от оспорващата в полза на пълномощника.

Воден от горното и на основание чл.172, ал.2 от АПК, съдът

 

Р Е Ш И:

 

ОБЯВЯВА НИЩОЖНОСТТА на изричен отказ на администратора и обработващия лични данни „***“ ЕООД, [ЕИК] да изтрие лични данни на З. Т. М., [ЕГН] от [населено място] , [улица][адрес] от собствените си регистри, както и от Централния кредитен регистър /ЦКР/, обективиран в отговор изх.№СТМТ/2025/06/00071-out.

ИЗПРАЩА преписката на „***“ ЕООД, [ЕИК] за произнасяне по молбата на З. Т. М. с правно основание чл.17, §1, б. „а“ от ОРЗД, в 14 дневен срок от влизане в сила на съдебния акт.

ОСЪЖДА „***“ ЕООД, [ЕИК] да заплати на З. Т. М., [ЕГН] от [населено място] , [улица][адрес] съдебни разноски в размер на 10 лв. /десет/.

Решението подлежи на обжалване пред Върховен административен съд в 14 дневен срок от съобщаването му на страните чрез връчване на препис.