Решение по дело №335/2025 на Административен съд - Кърджали

Производството е по реда на чл. 145–178 от Административнопроцесуалния кодекс (АПК), във вр. с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Делото е образувано по жалба от З. Т. Ф. от [населено място], подадена чрез пълномощник, против мълчалив отказ на „Фератум България“ ЕООД, с ЕИК ***, със седалище и адрес на управление: [населено място], [район],[жк], [улица], [адрес], представлявано Д. В. Н. и И. В. В., да се произнесе по упражнено право на достъп по чл.15 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент /ЕС/ 2016/679, Общ регламент относно защитата на данните-ОРЗД), съобразно направено искане.

В жалбата се твърди, че при извършена справка в Централен кредитен регистър е установено, че жалбоподателката дължи суми на „Фератум България“ ЕООД, независимо, че по нейни сметки, е изплатила повече суми от посочените в договора. В тази връзка, на 08.04.2025 г., чрез пълномощника си-адв.Ц., е изпратила до електронната поща на „Фератум България“ ЕООД, заявление, основано на чл. 15 от Регламент /ЕС/ 2016/679, към което било приложено и пълномощно. На 08.05.2025 г. пълномощникът на жалбоподателката е получил електронно съобщение от дружеството, с посочена парола за достъп до прикачени файлове, което не съдържало такива прикачени файлове. На 12.05.2025 г. пълномощникът на жалбоподателката е изпратил електронно съобщение до дружеството, съдържащо уведомление, че в изпратеното до него съобщение от 08.05.2025 г. няма прикачени файлове. Сочи, че до датата на подаване на жалбата на 13.05.2025 г., дружеството не е отговорило на електронното съобщение, нито на заявлението за предоставяне на лични данни. Излага подробни съображения за извършено от дружеството нарушение на правото й на достъп на лични данни, тъй като не е отговорило на запитването й в законовия едномесечен срок, като това е бил единствения начин, по който да се увери, че личните й данни се обработват законосъобразно от администратора на личните данни. В писмено становище, подадено от пълномощник, поддържа жалбата, като излага и допълнителни съображения, свързани с представения от ответника писмен отговор. Сочи, че не е получавала нито отговор на подаденото заявление, нито копия от заявените документи. Сочи също, че горният отговор не е подписан от законния представител на ответното дружество, поради което не може да се приеме, че изхожда от него. По изложените съображения иска от съда да отмени мълчаливия отказ, като незаконосъобразен и да задължи „Фератум България“ ЕООД да й предостави копия на документите от кредитното й досие, съдържащи нейни лични данни. При условията на евентуалност иска отмяна на изричен отказ на „Фератум България“ ЕООД, представен с молба от 06.06.2025 г., да уважи правото й на достъп по чл.15 от от Регламент /ЕС/ 2016/679, да получи копия от всички документи, в които се съдържат нейни лични данни. Претендира и направените по делото разноски.

Ответникът по жалбата – „Фератум България“ ЕООД, в писмено становище, представено от пълномощник, намира жалбата за недопустима, а в условията на евентуалност - за неоснователна. Сочи, че дружеството няма задължение да предоставя копия от документи, нито по силата на ОРЗД, нито на основание ЗЗЛД, тъй като исканите документи не попадат в обхвата на правото на достъп до лични данни, предвидени в чл.15 от ОРЗД. Излага съображения, че след датата на депозиране на жалбата искането за достъп до лични данни е надлежно удовлетворено с представената към становището информация. Счита, че жалбата е преждевременно подадена, преди изтичане на двумесечния срок за произнасяне по чл.53, ал.3 от ЗЗЛД. Претендира направените по делото разноски.

Съдът, след като взе предвид събраните по делото доказателства, приема за установено от фактическа страна следното:

На 08.04.2025 г. пълномощникът на жалбоподателката е подал по електронен път заявление до „Фератум България“ ЕООД /дружеството/, основано на чл. 15 от Регламент /ЕС/ 2016/679, за достъп до всички лични данни, обработвани от дружеството, както и копия от всички документи, в които се съдържат нейни лични данни, с цел установяване наличие на кредитна задлъжнялост спрямо дружеството. Към заявлението е приложено и пълномощно.

По повод подаденото заявление, на 08.05.2025 г. било получено електронно съобщение, изпратено от дружеството, с което е предоставена парола (***) за отваряне на прикачени файлове, изпратени по електронна поща.

В отговор на горното, пълномощникът на жалбоподателката е изпратил ново електронно съобщение, в което е посочил, че към изпратеното от дружество съобщение няма прикачени файлове, като е помолил същите да бъдат приложени. Няма данни за предприети от страна на „Фератум България“ ЕООД последващи действия.

По делото е приложено и писмо вх.№2193/20.05.2025 г. на председателя на КЗЛД, според което, към 16.05.2025 г. не е налице висящо или приключило административно производство пред Комисията за защита на личните данни, инициирано от З. Т. Ф. срещу „Фератум България“ ЕООД.

При така установените факти, съдът формира следните правни изводи:

Съгласно чл. 39 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

По делото е безспорно, че на 08.04.2025 г. жалбоподателката Ф. е подала заявление за предоставяне на лични данни до „Фератум България“ ЕООД, с твърдения, че нейни лични данни са обработвани от дружеството-ответник, поради което лицето като субект на това обработване има право на достъп до обработваните от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679.

Безспорно е също така, че дружеството-ответник попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Съгласно чл. 12, § 3 от Регламент (ЕС) 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред (чл. 12, § 4).

По аргумент от горните разпоредби, за дружеството, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателката искане, като с оглед разпоредбата на чл. 12, § 3 от Регламент (ЕО) 2016/679, действията е следвало да бъдат предприети без ненужно забавяне и във всички случаи в едномесечен срок от получаване на искането, т.е. до 08.05.2025 г. По делото не са ангажирани доказателства, а и не се твърди, че изпратеното от дружеството електронно съобщение на 08.05.2025 г., съдържащо единствено парола за достъп до прикачени файлове, каквито не са били приложени, представлява изрично произнасяне по подаденото от Ф. заявление. Няма и данни, жалбоподателката да е била уведомена за необходимостта от удължаване на едномесечния срок.

Възражението на „Фератум България“ ЕООД, че срокът за произнасяне по подаденото от Ф. заявление, съгласно чл. 53, ал. 2 от ЗЗЛД, е двумесечен, респ., жалбата е преждевременно подадена, е неоснователно. ОРЗД се прилага пряко в държавите-членки от 25.05.2018 г., и е задължителен в своята цялост. Правото на субекта на личните данни на достъп до тези данни е право с директен ефект и позоваването на националния закон, относно срока за упражняването му, чрез изпълнение на задълженията на администратора да предостави поисканата информация, включително носителите на личните данни, е неотносимо. Срокът е определен в чл. 12 § 3 от ОРЗД, и този срок е изтекъл към 08.05.2025 г., поради което жалбата не е преждевременно подадена. В случая е налице мълчалив отказ по смисъла на чл. 58, ал. 1 от АПК, тъй като дружеството-ответник не се е произнесло по подаденото от лицето заявление, в срок до 08.05.2025 г.

Не води до друг извод и представеното в хода на съдебното производство писмо, адресирано до жалбоподателката и съдържащо нейни лични данни. На първо място, основателни са възраженията на жалбоподателката, свързани с авторството на това писмо, тъй като същото не е надлежно подписано, поради което не може да се приеме, че изхожда именно от този администратор на лични данни. На следващо място, както се посочи по-горе, в разпоредбата чл. 12, § 3 от Регламент (ЕС) 2016/679 е предвидено задължение за администратора на лични данни да информира субекта на данни за резултатите от упражненото пред него право по чл. 15-22. В тази връзка, началният момент, от който отговорът/отказът може да произведе правно действие е този на уведомяването на заявителя. В случая обаче, по делото не са налице данни писмото, приложено към молбата-становище с вх.№2409/06.06.2025 г, да е било съобщено на жалбоподателката, за да се извърши преценка на правния интерес от оспорването.

Следователно, обратно на твърденията на ответника, жалбата е процесуална допустима, като подадена от лице с правен интерес и в законоустановения срок по чл. 149, ал. 2 от АПК.

Разгледана по същество жалбата е и основателна, по следните съображения:

Съгласно чл. 37б, ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг, определен от администратора начин.

Според разпоредбата на чл. 15, §1 от Регламент 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

Според чл. 15, §3 от Регламент (ЕС) 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

Горните разпоредби следва да се тълкуват и съобразно чл. 8, § 2 от Хартата на основните права на Европейския съюз, според който всеки има право на достъп до събраните данни, отнасящи се до него.

В случая, жалбоподателката е отправила надлежно искане по чл. 37б от ЗЗЛД до „Фератум България“ ЕООД, в качеството му на администратор на лични данни. Искането е свързано с упражняване на права по чл. 15 от Регламент 2016/679 и по силата на чл. 15, § 3 от Регламент 2016/679, администраторът е длъжен да предостави копие от обработваните от него лични данни на заявителя.

Според ответника субектът на данни има единствено правото да получи копие от обработваните лични данни, като правото по чл. 15 от Регламент (ЕС) 2016/679, не включва получаването на копия от документи. В тази връзка следва да се има предвид, че според т. 21 от Решение от 04.05.2023 г. на СЕС по дело С-487/21, F.F.V. Ostcrreichische Datenschutzbehorde, доколкото в ОРЗД не е дадено определение на така използваното понятие „копие", следва да се отчете обичайното значение на това понятие което, съгласно заключението на генералния адвокат /т.30/, обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработка или препращането към категории лични данни не би отговаряло на това определение. В точка 23 от горното решение на СЕС е посочено, че употребата на израза „всяка информация" в определението на понятието „лични данни", залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга" съответното лице. В решението на СЕС се сочи също, че чл. 15, § 3, изр.първо от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като в това отношение трябва да се вземат предвид правата и свободите на други лица.

В Решение от 22.06.2023 г. на СЕС по дело С-579/21, J.M. v. Panki S, т. 45 е посочено, че широкото определение на понятието „лични данни” обхваща не само данните, събрани и съхранявани от администратора, но и всяка информация, резултат от обработване на лични данни, които засягат лице, което е идентифицирано или може да бъде идентифицирано. В точки 63- 66 от същото решение на СЕС се сочи следното: „Що се отнася по-конкретно до съобщаването на цялата тази информация чрез предоставянето на журналните файлове за разглежданите в главното производство операции по обработване, следва да се отбележи, че член 15, параграф 3, първо изречение от ОРЗД гласи, че администраторът „предоставя копие от личните данни, които са в процес на обработване“. В това отношение Съдът вече е постановил, че така използваното понятие „копие“ обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които cа в процес на обработване или препращането към категории лични данни не би отговаряло на това определение. От текста на член 15, параграф 3, първо изречение от този регламент следва също, че задължението за съобщаване се свързва с личните данни, които са предмет на разглежданото обработване. Копието, което администраторът е длъжен да предостави, трябва да съдържа всички лични данни, които са в процес на обработване, да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно да възпроизвежда изцяло и точно тези данни. За да се гарантира, че така предоставената информация е лесна за разбиране, както изисква член 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т.е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни.“

В горния смисъл е и приетото в Решение от 26.10.2023 г. на СЕС по дело С-307/22, FT v. DW, т. 73-76: „Накрая, що се отнася до целите, преследвани с член 15 от ОРЗД той има за цел да укрепи и уточни правата на субектите на данни. Така предвиденото в тази разпоредба право на достъп трябва да позволи на субекта на данните да провери дали свързаните с него лични данни са точни и дали се обработват законосъобразно. Освен това копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави съгласно член 15, параграф 3, първо изречение от ОРЗД, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно трябва да възпроизвежда изцяло и точно тези данни. По-специално, за да се гарантира, че предоставената от администратора информация е лесна за разбиране, както изисква член 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, които в частност съдържат личните данни в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. Ето защо правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, които в частност съдържат посочените данни, ако представянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права.

В обобщение, според посочената практика на СЕС, субектът на данни има право на достъп, в т.ч. и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка, дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

Отнесено към разглеждания случай, предоставянето на данни, свързани с установяване на кредитната задлъжнялост на жалбоподателката към дружеството-ответник, плащанията и погасяванията, които тя е извършила към него, основани на договор за кредит, договор за цесия или др., е свързано и с установяване на обстоятелството, дали дружеството обработва правомерно личните данни на Ф., позовавайки се именно на изпълнението на този договор за потребителски кредит.

В случая, за да е възможно такова ефективно упражняване на правата, т.е., за да може жалбоподателката да установи дали има непогасени задължения към „Фератум България“ ЕООД, явяващо се неин кредитор по договор за кредит и съответно, дали личните й данни са точни и се обработват правомерно от същото, е следвало „Фератум България“ ЕООД, в качеството си на администратор на лични данни, да изпълни задължението си по чл. 15, § 3 от Регламент (ЕС) 2016/679, като предостави на жалбоподателката копие на съответния договор за кредит, както и копия от всички документи /респ. точно и разбираемо копие от извлечения от документи/, касаещи плащанията и погасяванията по него.

С оспорения мълчалив отказ жалбоподателката на практика е била поставена в невъзможност да разбере дали личните й данни се обработват законосъобразно, при спазване на задължението на администратора за осигуряване защитата на тези данни, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателката да се възползва и от правото си по чл. 8, § 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните са обработвани добросъвестно, за точно определени цели и въз основа на съгласието й или по силата на друго предвидено от закона легитимно основание.

По изложените съображения, мълчаливият отказ за предоставяне на заявената от жалбоподателката информация се явява незаконосъобразен и следва се отмени, като се задължи ответникът да представи копия на посочените документи, съдържащи лични данни на жалбоподателката, в заявената форма за получаване на информацията - по електронен път на посочен имейл адрес,.

С оглед изхода на спора, предвид своевременно направеното искане и на основание чл.143, ал.1 от АПК, на жалбоподателката се следват деловодни разноски общо в размер на 1010 лв., от които: 10 лв. за внесената държавна такса и 1 000 лв. за адвокатско възнаграждение, съобразно приложен списък.

Мотивиран от изложеното и на основание чл.172, ал.2 и чл. 174 от АПК, Административен съд – Кърджали

 

Р Е Ш И :

 

ОТМЕНЯ мълчалив отказ на „Фератум България“ ЕООД, с ЕИК ***, със седалище и адрес на управление: [населено място], [район],[жк], [улица], [адрес], за предоставяне на достъп до личните данни и копия от документите, в които се съдържат лични данни, по заявление на З. Т. Ф., като ИЗПРАЩА преписката на „Фератум България“ ЕООД, с ЕИК ***, за произнасяне по подаденото от З. Т. Ф. заявление от 08.04.2025 г. за предоставяне на лични данни, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени в мотивите към решението.

На основание чл. 174 от АПК, ОПРЕДЕЛЯ 14 – дневен срок за произнасяне, считано от влизането в сила на съдебното решение.

ОСЪЖДА „Фератум България“ ЕООД, с ЕИК ***, със седалище и адрес на управление: [населено място], [район],[жк], [улица], [адрес], да заплати на З. Т. Ф., с [ЕГН], с адрес: [населено място], [улица], [адрес], разноски по делото в размер на 10 (десет) лева.

ОСЪЖДА „Фератум България“ ЕООД, с ЕИК ***, със седалище и адрес на управление: [населено място], [район],[жк], [улица], [адрес], да заплати на адвокат Т. Ц. Ц., със съдебен адрес: [населено място], [жк], [улица], [адрес], адвокатско възнаграждение в размер на 1000 лева, за оказана безплатна правна помощ на основание чл. 38, ал. 1, т. 3 от Закона за адвокатурата.

Решението подлежи на обжалване пред Върховния административен съд на РБ, в 14-дневен срок от съобщаването му на страните.