Решение по адм. дело №988/2025 на Административен съд - Бургас

Производството е по реда на чл. 39 ал. 1 от Закона за защита на личните данни (ЗЗЛД) и чл. 145 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по жалба от Я. С. Ж. с [ЕГН] и адрес – община Средец, [населено място], [жк], вход 2, етаж 1, апартамент 15, със съдебен адрес – [населено място], [улица], чрез адвокат Н. Р., против изричен отказ от П. С. Л. – длъжностно лице по защита на данните в „Сити Кеш“ ООД, [ЕИК], със седалище и адрес на управление в [населено място], [улица], етаж 5, представлявано от Н. П. П., за предоставяне на копие от договор за потребителски кредит, съдържащ лични данни.

Жалбоподателят оспорва отказа като неправилен. Поддържа, че органът е нарушил правото на достъп на субекта на лични данни, разписано в чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета. Цитира практика на СЕС, съгласно която субектът на данни има право на достъп и право да получи копия от документи, в които се съдържат личните му данни, с оглед на това да направи проверка дали личните му данни се обработват законосъобразно, както и с оглед упражняване на правата му по Регламент (ЕС) 2016/679.

Иска се отмяна на отказа като незаконосъобразен. Претендират се разноски.

Ответникът редовно призован, не изпраща представител. В указания от съда срок, чрез процесуален представител представя преписка и становище по съществото на спора. Счита жалбата за неоснователна, с оглед на това, че е предоставил копие на всички лични данни на субекта, в разбираема и структурирана форма, отговаряща на чл. 15 § 3 от Регламент (ЕС) 2016/679. Посочва, че искането за получаване на „носители“ на данни (договори) е извън обхвата на правото на достъп в Регламента и практиката на Съда на ЕС. Претендира разноски за юрисконсултско възнаграждение в размер на 300 лева на основание чл. 78 ал. 8 от ГПК във връзка с чл. 144 от АПК.

От фактическа страна, съдът приема следното.

На 14.04.2025 година Я. С. Ж., чрез адвокат Н. Р. от Адвокатска колегия – [населено място], е подал по електронен път молба до „Сити Кеш“ ООД на електронен адрес: [електронна поща], с която е поискал от администратора на лични данни, да му предостави копие на договор за кредит, сключен с Ж., по силата на който дружеството му е предоставило заем, ведно с всички документи, съпътстващи договора. Посочено е, че искането се прави с оглед проверка законността на обработката на личните данни, като е изискано документите да бъдат изпратени на електронен адрес [електронна поща]. Към молбата е приложено пълномощно (лист 35 - 37).

На 12.05.2025 година служителят Л., от името на „Сити Кеш“ ООД, е изпратила по електронен път писмо до Я. Ж., чрез адвокат Р., в което е заявявено, че в качеството си на администратор на лични данни, дружеството обработва лични данни, отнасящи се до Ж.. Предоставено е копие на неговите лични данни, в процес на обработка, под формата на електронна справка, в която са посочени трите му имена, ЕГН, гражданство, номер на документ за самоличност, информация за контакт и финансова информация. Към отговора не е приложен договора за кредит, нито поисканите от жалбоподателя съпътстващи документи към договора. Посочено е, че искането за предоставяне на носител на договора за кредит във връзка със заявеното право на достъп, съгласно чл. 15 от Регламент (ЕС) 2016/679, е неоснователно и прекомерно (лист 39 – 45).

От ответника в производството не са представени доказателства за датата на връчване на отказа на заявителя, чрез процесуалния му представител.

Като доказателство за компетентността на П. Л. от „Сити кеш“ ООД е представено допълнително споразумение от 27.09.2024 година към трудовия договор на служителя, по силата на което Л. е преназначена от длъжност „старши юрисконсулт“ на длъжност „длъжностно лице по защита на данните“. Приложена е и длъжностната характеристика за тази служебна позиция, в която е описано задължението на лицето да осигури прилагане от страна на дружеството на законодателството по защита на личните данни (лист 57 - 60).

При така установената фактическа обстановка, съдът прави следните правни изводи.

По допустимостта

Жалбата е подадена срещу административен акт, за който е предвидена възможност за съдебен контрол. С него се засягат неблагоприятно правата и законните интереси на жалбоподателя предвид непредоставянето на изисканите от жалбоподателя копия от документи, съдържащи личните му данни. Доколкото от ответника в производството не е представено доказателство за датата на връчване на отказа на жалбоподателя, съдът приема, че жалбата е подадена в законоустановения срок по чл. 149 ал. 1 от АПК. Оспорването е извършено от лице с правен интерес, при липса на висящо производство пред Комисията за защита на личните данни (КЗЛД), поради което е процесуално допустимо.

По основателността

Легална дефиниция на „лични данни“ е разписана в чл. 4 т. 1 от Регламент (ЕС) 2016/679, съгласно която разпоредба „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Съобразно чл. 4 т. 2 от Регламент (ЕС) 2016/679, за „обработване“ се приема всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В нормата на чл. 37б ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. В ал. 2 на същата норма е предвидено, че заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация.

Съгласно чл. 37в ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, като при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното (чл.37в ал. 2 от ЗЗЛД).

В настоящият случай отправената от жалбоподателя, чрез адвокат Н. Р., молба от 14.04.2025 година до администратора на лични данни – „Сити Кеш“ ООД, несъмнено има характер на заявление по смисъла на чл. 37б ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в ал. 1 от ЗЗЛД, както и към същото е приложено пълномощно съобразно разпоредбата на чл. 37в ал. 2 от ЗЗЛД, т.е. същата представлява надлежно основание за предоставяне на исканите лични данни.

Съгласно чл. 12 т. 4 от Регламент (ЕС) 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по заявлението изрично (дори когато не предприема действия по него), което в случая е сторено от дружеството – ответник с отговор от 12.05.2025 година.

В настоящият случай спорният въпрос е дали в обхвата на задължението на администратора на лични данни попада предоставянето на копия от носителите на същите – договор за кредит, ведно с приложенията към него, които субектът на данни е заявил.

Отговорът на администратора на лични данни е в нарушение на член 15, § 1 и 3 от Регламент (ЕС) 2016/679, а субектът на данни има право да получи точна и разбираема реплика по договорите за кредит, за да има възможност да упражни ефективно правата си по регламента.

Съгласно т. 21 от Решение от 04.05.2023 година на Съда на ЕС по дело № С-487/2021 доколкото в ОРЗД не е дадено определение на така използваното понятие „копие“, следва да се отчете обичайното значение на това понятие, което обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни, не би отговаряло на това определение. Съгласно т. 23 от същото решение употребата на израза „всяка информация“ в определението на понятието „лични данни“, залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице. В следваща т. 31 от решението е посочено, че в член 15 параграф 3 от ОРЗД се уточняват практическите условия за изпълнение на задължението на администратора, като по-специално в първото изречение се посочва формата, под която администраторът трябва да предостави „личните данни, които са в процес на обработване“, а именно — „копие“.

Действително, правото да се предостави копие на лични данни по смисъла на чл. 15 § 3 от Регламент 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни, в каквато насока е мотивирано писмото за отказ, но в решението си Съдът на ЕС - т. 45 изрично приема, че: 1) Член 15 параграф 3 първо изречение от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

Разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит и именно този договор се явява носител на информация за обработваните лични данни по смисъла на чл. 15 § 1 от Регламент (ЕС) 2016/679.

В този смисъл, субектът на данни има право на достъп, в това число и право да получи копия от договора и приложения към него, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали същите се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

Отказът на предоставяне е в нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност по аргумент от член 5,§ 1 буква „а“ от Регламент (ЕС) 2016/679.

Възражението на ответника, че информация във връзка с сключения договор за кредит и документите към него е била на разположение на жалбоподателя, и ги е получил към момента на сключване на договора, съдът счита за неоснователно, тъй като субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент 2016/679 на това сочено от ответника фактическо основание.

По изложените съображения жалбата се явява основателна, отказът на „Сити Кеш“ ООД, в качеството му на администратор на лични данни, да предостави достъп до лични данни по подаденото от Я. С. Ж. заявление от 14.04.2025 година (именувано „молба“), следва да бъде отменен като незаконосъобразен и преписката се върне на администратора на лични данни за изрично произнасяне по заявлението, при съобразяване с дадените указания по тълкуването и прилагането на закона.

Предвид изхода на спора и на основание чл. 143 ал. 1 от АПК основателно се явява и искането на адвокат Р. за присъждане на адвокатско възнаграждение. Същото се претендира в хипотезата на чл. 38 ал. 1 т. 2 от Закона за адвокатурата (ЗА), при оказване на безплатна адвокатска помощ и съдействие на материално затруднено лице. Ето защо и на основание чл. 38 ал. 2 вр. ал. 1 т. 2 от ЗА, вр. чл. 8 ал. 2 т. 10 от Наредба № 1/09.07.2004 година за възнаграждения за адвокатска работа, в полза на адвокат Н. Р. следва да се присъди адвокатско възнаграждение в размер на 900 лева, за осъщественото процесуално представителство пред настоящата съдебна инстанция.

Затова, на основание чл. 172 ал. 2 от АПК във връзка с чл. 173 ал. 2 и чл. 174 от АПК, съдът

РЕШИ:

ОТМЕНЯ отказ от 12.05.2025 година на П. С. Л. – длъжностно лице по защита на данните в „Сити Кеш“ ООД, в качеството му на администратор на лични данни, да предостави достъп до лични данни по подаденото от Я. С. Ж. заявление от 14.04.2025 година.

ВРЪЩА преписката на „Сити Кеш“ ООД – [населено място] за произнасяне по подаденото от Я. С. Ж. заявление (молба) от 14.04.2025 година при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение.

ОПРЕДЕЛЯ, на основание чл. 174 от АПК, 14-дневен срок за произнасяне, считано от влизане в сила на съдебното решение.

ОСЪЖДА „Сити Кеш“ ООД, [ЕИК], със седалище и адрес на управление в [населено място], [улица], етаж 5, представлявано от Н. П. П., да заплати на Я. С. Ж. с [ЕГН] направените по делото разноски в размер на 10 (десет) лева.

ОСЪЖДА „Сити Кеш“ ООД, [ЕИК], със седалище и адрес на управление в [населено място], [улица], етаж 5, представлявано от Н. П. П., да заплати на адвокат Н. Р. от АК - Бургас сумата от 900 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на безплатна адвокатска помощ и съдействие на основание чл. 38 ал. 1 т. 2 от Закона за адвокатурата.

Решението може да се обжалва пред Върховен административен съд в 14-дневен срок от съобщаването му.