Решение по адм. дело №357/2025 на Административен съд - Шумен

Производството е по реда на чл.145 и сл. от Административно процесуалния кодекс (АПК), вр. чл.39 ал.1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на П. Д. П. от [населено място], чрез адв.Н. Р. от БАК против изричен отказ на „Стик- Кредит“АД с [ЕИК], седалище и адрес на управление в [населено място], пл.Оборище № 13Б, представлявано от С. Т.. Оспорващата твърди, че на 16.06.2025г. изпратила на ответната страна заявление, с което на основание Регламент (ЕС) 679/2016г. на ЕП и на Съвета изискала от администратора копие на личните данни, във връзка със сключен между страните договор за кредит. Посочва, че на 08.07.2025г. на електронна поща получила отговор от дружеството с прикачен файл Приложение №1 Формуляр за предоставяне на информация по чл.15 от ОРЗД. Същевременно с отговора не се предоставяло копие на личните данни, които се обработват от кредитора във връзка със сключения договор за потребителски кредит. По изложените в жалбата съображения се сочи, че изричният отказ е незаконосъобразен и се отправя искане същият да бъде отменен изцяло и преписката да се върне със задължителни указания за произнасяне по подаденото искане, като бъде предоставен поискания договор и съпътстващите го документи. Претендира се присъждане на разноски.

В открито съдебно заседание жалбоподателката не се явява лично и не изпраща упълномощен процесуален представител. Адв. Р. в писмено становище от 15.10.2025г. поддържа жалбата и прилага списък на разноските.

Ответникът „Стик- Кредит“АД- [населено място], редовно призован, не изпраща процесуален представител. Дружеството е конституирано като страна в производството, в качеството му на администратор на лични данни. Постъпил е отговор и писмено становище на 13.10.2025г. от юрисконсулт Р.П., с приложени доказателства за упълномощаване, в които се оспорва жалбата. Твърди се, че е предоставена на жалбоподателката дължимата ѝ информация по договор за кредит, ведно с реплика на обработваните личните данни, в обем, посочено основание, цели на обработка и срок на съхранение, определени от действащата нормативна уредба– чл.37б от ЗЗЛД и Регламент (ЕС) 2016/679, с което е било изпълнено вмененото задължение. Твърди, че не се дължи предоставянето на копия от носителите на лични данни, понеже субектът на лични данни вече ги е получил при сключването на договора за кредит и не се дължи повторното им представяне. По тези съображения се моли жалбата да бъде отхвърлена и претендира за юрисконсултско възнаграждение.

Съдът, като съобрази данните по делото, намира за безспорно установено от фактическа страна следното:

Жалбоподателката твърди, че на 16.06.2025г. чрез пълномощника си адв. Р. изпратила по електронен път на ответната страна- „Стик- Кредит“АД- [населено място] заявление, подписано с КЕП, с което на основание чл.15 и чл.20 от Регламент (ЕС) 679/2016г. на ЕП и на Съвета изискала от администратора копие на лични данни, във връзка със сключен между страните договор за кредит, за да бъде извършена проверка на законността на обработката на личните данни. На 08.07.2025г. получила по електронен път отговор от „Стик- Кредит“АД- [населено място], издаден от изпълнителния директор на дружеството- кредитор, с приложен Формуляр за предоставяне на информация по чл.15 от ОРЗД, съдържащ информация за личните ѝ данни, обработвани от дружеството във връзка със сключен между страните договор за потребителски кредит № 640019/21.11.2022г. Посочено е в отговора, че съгласно изискванията на чл.12 т.3 от Регламент 2016/679, администраторът на лични данни има задължение да предостави копие на обработваните лични данни, а не да възпроизвежда копие от документи, от които са част обработваните лични данни. С оглед на изложеното, дружеството счело искането на жалбоподателката за неоснователно и отказало да издаде копия на исканите в заявлението документи. С получения отговор от „Стик- Кредит“АД- [населено място] на жалбоподателката не били предоставени изрично поисканите от нея носители на личните ѝ данни, поради в настоящия казус е налице отказ за предоставянето им. Недоволна от отговора, заявителката депозирала на 18.07.2025г. чрез пощенски оператор жалба пред настоящия съд, по която е образувано съдебното производство.

По делото са приети като писмени доказателства искането на жалбоподателката и отговора на ответника, заверени за вярност, както и удостоверение по чл.39 ал.4 от ЗЗЛД на Комисията за защита на личните данни (КЗЛД) с изх. № ППН-01-1237#1 от 30.07.2025г., приложено на стр.16 от делото.

При тези фактически установявания, като взе предвид направените в жалбата оплаквания, доводите и становищата на страните и относимата нормативна уредба, съдът приема от правна страна следното:

Съгласно ЗЗЛД са налице два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД – сезиране на КЗЛД, регламентирано в чл. 38 ал. 1 от ЗЗЛД и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК, съгласно чл.39 ал.1 от ЗЗЛД. По делото е установено, видно от представеното удостоверение на КЗЛД, че пред комисията няма висящо или приключило административно производство, което да е идентично като предмет и страни с настоящото съдебно производство, поради което не е налице процесуална пречка за сезиране на съда с процесния спор. Същото е осъществено в законовия регламентиран срок. Доколкото обжалваният отказ не съдържа указание за срока за обжалване по съдебен ред, срокът за съдебното му обжалване се удължава на два месеца съгласно чл. 140 ал. 1 от АПК, във връзка с чл. 39, ал. 1 от ЗЗЛД, в който и срок е подадена жалбата.

Съдът приема за безспорно обстоятелството, че между жалбоподателката и ответника „Стик- Кредит“АД- [населено място] са налице облигационни отношения, възникнали по силата на сключен договор за паричен заем, наличието на което обстоятелство не е спорно по делото. Оспорващият е субект, чийто лични данни са обработвани от дружеството– ответник, и съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл.15 от Регламент (ЕС) 2016/679 на ЕП и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679).

Ответникът попада в хипотезата на определението по чл.4 т.7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Следователно оспорването, като направено от легитимирано лице с правен интерес против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, в законустановения срок и при липса на забраната по чл.39 ал.4 от ЗЗЛД, е процесуално допустимо. Разгледана по същество, жалбата е основателна при следните съображения:

Според чл.4 §1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. "Обработване" на лични данни по определението на чл.4 параграф 2 от ОРЗД означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл.15 от Регламент 2016/679, е предвидено „право на достъп на субекта на данните“, като в параграф 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните“. Според чл.15 §3 от Регламент 2016/679 „администраторът предоставя копие от личните данни, които са в процес на обработване“.

В конкретния случай отправеното от жалбоподателя искане до администратора на лични данни, несъмнено има характер на заявление по смисъла на чл.37б ал.1 от ЗЗЛД и съдържа реквизитите по чл.37в от ЗЗЛД. Същото е подадено във връзка с упражняване на правата по чл.15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл.15 §3 от Регламент 2016/679.

Въз основа на приобщените по делото доказателства, съдът намира, че ответникът „Стик- Кредит“АД- [населено място], който по силата на определението по чл.4, т.7 от Регламент 2016/679 е „администратор“ на лични данни е постановил нищожен акт. Видно от представената преписка и изявлението в отговора и изразеното становище от дружеството, администраторът на лични данни е отговорил на оспорващия по електронен път, но без писмото да е подписано с валиден квалифициран електронен подпис. Видно от писмото- отговор, в него се съдържа отбелязване, че автор на същото е изпълнителният директор С. Т., но липсва положен подпис– ръкописен или електронен. Ето защо, съдът приема, че оспореният акт е издаден при неспазване на установената форма и при допуснато съществено нарушение на административно производствените правила. Това е така, защото в случая администраторът на лични данни е постановил оспорения с настоящата жалба отказ при неспазване на установената в закона форма по смисъла на чл.59 ал.2, т.8 от АПК, доколкото в представения от органа документ липсва подпис на издателя на документа. Липсата на подпис е съществен порок, тъй като води до невъзможност да се установи издателят на акта и спазването на изискването за компетентност, което от своя страна съставлява основание за прогласяване на нищожността на акта. Полагането на подпис свидетелства за формираната воля на органа за издаване на съответния акт и е потвърждение, че този акт изхожда именно от него. Липсата на този съществен реквизит води до невъзможност за установяване, че актът е издаден от компетентния орган, а липсата на материална и/или персонална компетентност на издателя води до нищожност на издадения от него акт, която подлежи на обявяване от съда.

Независимо от основанията за обявяване на нищожност на оспорения отказ, съдът намира, че следва да разгледа същия и съобразно изискванията на материалния закон. Настоящият съдебен състав намира, че отказът е издаден и в противоречие с материалните правила, поради следното:

В разглеждания случай жалбоподателят е подал заявление по чл.37б от ЗЗЛД до администратора на лични данни, какъвто е ответникът, при спазване на посочения в разпоредбата ред, като подаденото заявление отговаря на изискванията на чл.37в от ЗЗЛД относно съдържание и приложения. Спорно е в случая дали попада в обхвата на задължението на администратора на данни предоставянето на субекта на данни на копия от носителите на личните му данни– договори за кредит, ведно с всички негови приложения, каквито в случая жалбоподателката изрично е поискала да ѝ се предоставят.

В представеното по делото писмено становище от ответника по жалбата се твърди, изпълнение на задълженията на администратора по чл.15 и чл.22 от Регламент (ЕС) 2016/679. Така възприетото от ответното дружество не се споделя от настоящия съдебен състав. Съгласно чл.12 §1 от Регламент (ЕС) 2016/679, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15- 22 и чл.34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Съгласно чл.12 §2 от Регламент (ЕС) 2016/679, администраторът съдейства за упражняването на правата на субекта на данните по членове 15- 22. В случаите, посочени в чл.11 §2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15- 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. В чл.12 §3 на Регламент (ЕС) 2016/679 е предвидено, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15- 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, който може да бъде удължен с още два месеца. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. В случая, горецитираните разпоредби не са спазени от ответника по жалбата. Подаденото от жалбоподателя заявление е във връзка с упражняване на правата му по чл.15- чл.20 от Регламент (ЕС) 2016/679 и съгласно §3 на чл.15 от Регламент (ЕС) 2016/679, администраторът е длъжен да предостави достъп до данните и копие от личните данни на субекта. Съгласно чл.15 §1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасяща се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администратора обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на достъп до данни по реда на чл.15, §1 от Регламент (ЕС) 2016/679 е нарушение на основните принципи за обработка на личните данни, предвидени в чл.5 §1, б. „а“ от Регламент 2016/679. С чл.12 §1 от Регламент (ЕС) 2016/679 администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и дали се обработват в съответствие с Регламент (ЕС) 2016/679, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламент (ЕС) 2016/679.

С оспорения отказ ответното дружество лишава жалбоподателя от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. Субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл.8 §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от Регламент (ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл.8, §2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Съдът не споделя твърдението на ответника, че съгласно чл.15 и чл.20 от Регламент (ЕС) 2016/679, физическото лице следва да получи точна реплика на обработваните лични данни, а не носителите на същите. Както вече бе посочено, съгласно чл.15 §1 от Регламент (ЕС) 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, включително и информация относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка при сключването на договора за кредит. Спазвайки принципите на прозрачност и отчетност, администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването (чл.12, §1 от Регламента) в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т.ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка– в случая наличието на сключени договори за кредит. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правата, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Действително, правото да се предостави копие на лични данни по смисъла на чл.15, §3 от Регламент (ЕС) 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т.ч. и под формата на компилация от данни. Но следва да се има предвид приетото в Решение на СЕС от 4 май 2023г. по дело C-487/21, че това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права.

Разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, ведно с приложенията им и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл.15 §1 от Регламент (ЕС) 2016/679.

Предвид изложеното, съдът приема, че ответникът по жалбата е следвало да предостави исканите копия от сключен договор за кредит с приложенията му, за да може жалбоподателят ефективно да упражни предоставените му с Регламента права. В този смисъл е актуалната съдебна практика- Решение № 1159 от 11.02.2025 г. на ВАС по адм. д. № 9474/2024 г., V о. и др.

Съдът счита, че с оглед ефективно упражняване на правата, предоставени му с Регламент (ЕС) 2016/679, жалбоподателят има право да получи достъп до обработваните му лични данни, визирани в подаденото заявление до „Стик- Кредит“АД- [населено място]. В процесния случай не са налице и предпоставките по чл.37а ал.1 от ЗЗЛД, при които администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл.12- 22 от Регламент (ЕС) 2016/679.

Следователно е налице и твърдяната от жалбоподателя незаконосъобразност.

Въз основа на изложеното и като провери законосъобразността на оспорения акт по реда на чл.168 от АПК, съдът приема, че същият е нищожен и незаконосъобразен. Жалбата, като основателна следва да се уважи, а обжалваното писмо- изричен отказ на „Стик- Кредит“АД- [населено място] от 08.07.2025г. следва да бъде прогласено за нищожно и на основание чл.173 ал.2 и чл.174 от АПК преписката следва да бъде изпратена на администратора на лични данни „Сити кеш“ ООД за ново произнасяне в 30-дневен срок от влизане в сила на решението, съобразно изложените мотиви от съда, които са задължителни относно приложението на материалния и процесуалния закон.

С оглед изхода на спора и на основание чл.143 ал.1 от АПК, претенцията на жалбоподателя за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на жалбоподателя направените от него по делото разноски в размер на 10,00 лева, представляващи внесена държавна такса. На основание чл.38 ал.2, във връзка с чл.38, ал.1, т.2 от ЗА, пълномощникът на жалбоподателя има право на адвокатско възнаграждение, с оглед представените по делото: договор за правна защита и съдействие за оказване на адвокатска помощ безплатно и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на пълномощника на жалбоподателя адвокатско възнаграждение в размер на 900,00 лева, който размер съответства на действителната фактическа и правна сложност на делото и е пропорционален спрямо извършената правна защита, при приложението на чл.36, ал.2 от ЗА и съобразяване на Решение на Съда на Европейския съюз от 25 януари 2024 г. по дело С-438/22.

Водим от горните мотиви, на основание чл. 172, ал. 2 във връзка с чл. 173, ал. 2 и чл. 174 от АПК, съдът

РЕШИ:

ОБЯВЯВА по жалба на П. Д. П. от [населено място] за нищожен Изричен отказ на „Стик- Кредит“АД с [ЕИК], седалище и адрес на управление в [населено място], пл.Оборище № 13Б, представлявано от С. Т. от 08.07.2025г., в качеството му на администратор на лични данни.

ИЗПРАЩА преписката на „Стик- Кредит“АД с [ЕИК], седалище и адрес на управление в [населено място], пл.Оборище № 13Б, представлявано от С. Т., в качеството му на администратор на лични данни, за произнасяне по заявление на П. Д. П. от 16.06.2025г., при съобразяване с указанията по тълкуване и прилагане на закона в мотивите на настоящото решение, в 30-дневен срок от влизане в сила на решението.

ОСЪЖДА „Стик- Кредит“АД с [ЕИК], седалище и адрес на управление в [населено място], пл.Оборище № 13Б, представлявано от С. Т., да заплати на П. Д. П. с [ЕГН] от [населено място], [улица] сумата 10,00 (десет) лева, разноски по делото.

ОСЪЖДА„Стик- Кредит“АД с [ЕИК], седалище и адрес на управление в [населено място], пл.Оборище № 13Б, представлявано от С. Т., да заплати в полза на адвокат Н. Р. от Адвокатска колегия– Бургас сумата 900,00 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на П. Д. П. от [населено място] безплатна адвокатска помощ и съдействие на основание чл.38 ал.1 т.2 от Закон за адвокатурата.

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните, ведно с препис от него.