Решение по дело №110/2025 на Административен съд - Сливен

Производството е образувано по жалба от С. З. С., [ЕГН], с адрес гр. Н. З., [улица]срещу мълчалив отказ на „Вивус.БГ“ ЕООД да се произнесе по заявление, подадено от С. с искане за предоставяне на копие на сключения между дружеството като администратор на лични данни и С. договор за к. и съпътстващите го документи. Оспорването намира правното си основание в чл. 39 ал. 1 от Закона за защита на личните данни (ЗЗЛД), като образуваното производство се движи по реда на чл. 145 и сл. от АПК.

В жалбата си оспорващата излага доводи за незаконосъобразност на формирания мълчалив отказ. Твърди, че на 10.01.2025 г., чрез упълномощен представител е изпратила до „Вивус.БГ“ ЕООД по електронен път искане за предоставяне на копие от сключен договор за к., ведно със съпътстващите го документи, с цел извършване на проверка дали личните данни се обработват законосъобразно. С друг механизъм за проверка на размера на задължението жалбоподателката не разполагала. До датата на депозиране на жалбата пред съда (20.02.2025 г.) отговор от ответното дружество не бил получен. Позовава се на чл. 15 от ОРЗД и решения на СЕС по дела № С-487/21, С-579/21 и С-307/22. Моли съда да отмени оспорения отказ. Претендира разноски.

В открито съдебно заседание жалбоподателят С. З. С., редовно и своевременно призована, не се явява и не се представлява. В представена от упълномощен адв. Н. Р. от БАК молба излага подробни съображения в подкрепа на твърдението си за незаконосъобразност на мълчаливия отказ и моли съда да постанови неговата отмяна. Претендира разноски по представен списък.

В открито съдебно заседание ответникът „Вивус.БГ“ ЕООД, редовно и своевременно призовано, не изпраща представител. В писмено становище по жалбата, депозирано чрез пълномощник заявява недопустимост, алтернативно - неоснователност на жалбата с молба за нейното отхвърляне и претенция за присъждане на разноски.

Въз основа на всички събрани по делото писмени доказателства, съдът прие за установена следната фактическа обстановка:

На 10.01.2025 г. оспорващата в настоящото съдебно производство С. З. С. по електронен път подала чрез адв. Н. Р. от БАК молба на основание чл. 37б от ЗЗЛД до „Вивус.БГ“ ЕООД, гр. София с искане за предоставяне на копие от сключения между тях договор за к. и съпътстващите го документи, с оглед проверка законността на обработваните лични данни. Заявлението е подписано с електронен подпис от пълномощника и по делото не е спорно, че същото е получено от адресата „Вивус.БГ“ ЕООД. Ответникът в представеното становище по жалбата не оспорва и наличието на сключени със С. З. С. договори за п. з..

Съдът служебно е изискал информация от Комисия за защита на личните данни, като с писмо изх. № ППН-01-905#3/19.06.2025 г. на основание чл. 39 ал. 4 от ЗЗЛД Комисията уведомява, че след направена служебна справка на 18.06.2025 г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от С. З. С. срещу „Вивус.БГ“ ЕООД.

По делото не се представиха доказателства, а и не се твърди сезираното дружество, в качеството му на администратор на лични данни да е предоставило исканите по заявлението данни.

Жалбата, по която е образувано настоящото съдебно производство е подадена в съда на 18.02.2025 г., видно от клеймото, поставено върху пощенския плик.

Съдът, като взе предвид съдържащите се в жалбата твърдения и доводи и съобрази относимата нормативна уредба, формира следните изводи от правно естество:

Съгласно чл. 39 ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

Съдът приема за безспорно обстоятелството, че между жалбоподателя С. З. С. и "Вивус.БГ" ЕООД, гр. София са налице о. отношения, възникнали по силата на сключени договори за п. з., наличието на което обстоятелство не е спорно по делото, като оспорващият е субект, чийто лични данни са обработвани от дружеството – ответник, и съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679).

Ответникът "Вивус.БГ" ЕООД попада в хипотезата на определението по чл. 4 т. 7 от Регламент 2016/679, съгласно която "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Това мотивира съда да приеме, че за дружеството, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от настоящия жалбоподател искане, като с оглед разпоредбата на чл. 12 пар. 3 от Регламент 2016/679, информация относно действията, предприети във връзка с искане по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Както се отбеляза по – горе, по делото не са ангажирани доказателства, че дружеството се е произнесло изрично по подаденото от С. заявление. Не са налице и данни срокът, нормиран в чл. 12 пар. 3 от Регламент 2016/679 да е удължаван, каквато възможност принципно е допустима, но при спазване на посочените в разпоредбата предпоставки. Във връзка с направеното от ответната страна възражение за недопустимост на обжалването, следва да се отбележи, че в относимия и приложим Закон за защита на личните данни са регламентирани два самостоятелни и алтернативни способа за защита на субекта на данни при допуснато нарушение на неговите права по Регламент(ЕС) 2016/679 и по ЗЗЛД, а именно: по чл. 38 ал. 1 от закона чрез сезиране на нарочен надзорен орган – Комисията за защита на личните данни и по чл. 39 ал. 1 от същия закон – чрез сезиране на компетентен съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК. В ЗЗЛД липсва изрично нормирана императивна забрана за съдебно обжалване при неизчерпан ред за оспорване по административен ред пред КЗЛД. Единственото ограничително условие за иницииране на съдебен контрол, регламентирано от законодателя се съдържа в чл. 39 ал. 4 от ЗЗЛД, според която норма, субектът на данни не може да сезира съда, когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. По искане на субекта на данни или на съда комисията удостоверява липсата на висящо производство пред нея по същия спор. Целта на тази законова регламентация е недопускане разглеждането на идентични правни спорове едновременно пред надзорния орган и пред съда.

В процесния случай по делото е безспорно установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично като страни и предмет с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с настоящата жалба и разглеждане по същество на правния спор.

Предвид изложеното, непроизнасянето на дружеството в срок до 10.02.2025 г. по подаденото от лицето заявление по чл. 37б от ЗЗЛД налага извода, че в случая е формиран мълчалив отказ по смисъла на чл. 58 ал. 1 от АПК. Жалбата е депозирана пред настоящия съд на 18.02.2025 г., т. е. при спазване на срока по чл. 149 ал. 2 от АПК.

Следователно оспорването, като направено от легитимирано лице с правен интерес, в законоустановения срок и против административен отказ, подлежащ съдебен контрол за законосъобразност, е процесуално допустимо.

Разгледано по същество, същото се преценява от настоящата съдебна инстанция и като основателно, при следните съображения:

Съгласно разпоредбата на чл. 4 § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице". Според чл. 4 § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Разпоредбата на чл. 37б ал. 1 от ЗЗЛД сочи, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като според параграф 1, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Съгласно чл. 15 § 3 от Регламент 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

В разглеждания случай жалбоподателят С. е депозирала по електронен път писмено заявление по чл. 37б от ЗЗЛД до администратор на лични данни, какъвто безспорно е "Вивус.БГ“ ЕООД, при спазване на посочения в нормата административен ред. Съгласно чл. 37б ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като съобразно ал. 2, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В чл. 37б, ал. 3 от ЗЗЛД е предвидено, че заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Подаденото заявление съдържа и нормативно изискуемата форма откъм реквизити и съдържание и е съобразено с изискванията на чл. 37в от ЗЗЛД. Съгласно чл. 37в ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, а според чл. 37в ал. 2 от ЗЗЛД, при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. В процесния случай и доколкото заявлението е подадено от пълномощник, писменият акт за упълномощаване е приложен, както изисква законът.

Доколкото по делото не е спорно, че С. се явява субект на данни по смисъла на закона, който извод формално се извлича от съществуващо между нея и ответното дружество о. правоотношение, обективирано в сключени договори за п. з., то при наличието на надлежно сезиране с подадено заявление от легитимирано лице, за „Вивус.БГ“ ЕООД като администратор на лични данни е възникнало нормативно установеното задължение да се произнесе, като съгласно разпоредбата на чл. 12 § 3 от Регламент 2016/679, това е следвало да се извърши без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Такова произнасяне на е формирано, а липсата му не се отрича от ответното дружество. Не са налице и данни или твърдения срокът за произнасяне да е удължаван на два месеца, каквато възможност е допустима съгласно чл. 12 § 3 от Регламент 2016/679, с условие субектът на данните да бъде информиран в тази насока.

От представената по делото молба от ответника „Вивус.БГ“ ЕООД се установява, че отказът за предоставяне на исканите данни и обоснован с възприето становище, че копията от договори за к. и съпътстващите ги документи не съставляват „лични данни“. Така възприетото от ответника и мотивирало неизпълнението на задължението за произнасяне по отправеното искане не може да се приеме като законосъобразен мотив за формиране на мълчалив отказ.

Както се посочи по-горе, съобразно разпоредбата на чл. 15 § 1 от Регламент (ЕС) 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него и ако това е така, да получи достъп до данните. Ирелевантно относно упражняването на това право на субекта и съответно за изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията, въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност, администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването (чл. 12, § 1 от Регламента) в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т. ч кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая сключен договор за предоставяне на к. с договорени ф. взаимоотношения. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правото си на коригиране, изтриване (право "да бъдеш забравен") и на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Правото да се получи копие на лични данни по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679 не се отъждествява с правото да се получи копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, като е допустимо това да се извърши и под формата на компилация от данни. Съгласно приетото обаче в Решение на СЕС от 4 май 2023 година по дело C-487/21, правото по чл. 15, § 3 от Регламент (ЕС) 2016/679, предполага и правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този Регламент права, в т. ч. и да извърши проверка за спазване на принципа за законосъобразна обработка на данните. Неоснователно е възражението на ответника в отговора по жалбата, че копията от договори за к. и съпътстващите ги документи не съставляват „лични данни“ и разпоредбите на ОРЗД са неприложими. За администратора е налице произтичащо от чл. 15, § 3 от Регламент (ЕС) 2016/679 задължение за предоставяне на копия на документите, съдържащи личните данни на заявителя, чрез които да се даде възможност на заявителя да извърши проверка по законосъобразността на извършваната от администратора "Вивус. БГ" ЕООД обработка на личните данни - дали същата е легитимна по смисъла на чл. 6, § 1, т. "б" от Регламента, т.е. дали действително е във връзка с изпълнението на сключени от С. С. договори за предоставяне на к. с дружеството – к.. Непредоставянето на заявените за получаване от С. документи - носители на лични данни, на които се основава обработката на тези данни от администратора, както и на свързаните с направените по този договор п. лични данни, касаещи п. в з. правоотношение възпрепятства ефективното упражняване от субекта на данни на предоставените му с Регламент (ЕС) 2016/679 права, вкл. това по чл. 17, ал. 1, § 1, б. "г" от ОРЗД – да поиска от администратора изтриване на свързаните с него лични данни, ако те са били обработвани незаконосъобразно. Ето защо, след като жалбоподателката изрично е поискала да й бъдат предоставени копия на носителите на личните й данни, както и на свързаните с постъпилите п. такива, за да бъде извършена проверка на обработваните данни, администраторът е бил длъжен да ги предостави. В този смисъл е и Решение № 4856 от 12.05.2025 г. по адм. дело № 1911/2025 г. по описа на ВАС.

Не са налице ограничения по смисъла на чл. 23, § 1 и § 2 от Регламент (ЕС) 2016/679 по отношение обхвата на задълженията и правата, предвидени в чл. 12-22 от Регламент (ЕС) 2016/679, като липсва и което и да е било от нормативно регламентираните в чл. 37а, ал. 1, т. 1 – т. 9 от ЗЗЛД материалноправни основания, при които администраторът на лични данни може да откаже пълно или частично упражняването на правата на субекта на данни по чл. 12 – 22 от Регламент (ЕС) 2016/679. Дори екземпляр от договорите за к. да са били предоставени на С. към момента на тяхното сключване, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679, във връзка със съществуващите между него и администратора на лични данни взаимоотношения.

Гореизложеното налага извода, че "Вивус. БГ“ ЕООД, в качеството си на администратор на лични данни, е следвало да изпълни задължението си по чл. 15, § 3 от Регламент (ЕС) 2016/679, като при наличие на отправеното изрично искане да предостави на субекта на данните – С. С. изисканите копия на документи, чрез които се обработват личните й данни, в т.ч. и тези, съпътстващи договорите за к., доколкото при неизпълнение на това задължение се ограничава възможността на заявителя да узнае конкретните фактически и правни основания, обуславящи целите на обработка на личните й данни. Противното разбиране води до ситуация, в която субектът на данните получава единствено обща информация за вида и категорията на обработваните лични данни, но не може да получи конкретни сведения какво е точното фактическо основание за извършваната от администратора обработка. Това води до пряко неизпълнение от страна на администратора на лични данни на задължението за отчетност, което препятства и възможността субекта на данните да осъществи ефективна проверка относно тяхното законосъобразно, добросъвестно и прозрачно обработване, каквото съмнение очевидно се е породило у жалбоподателката. В този смисъл ответникът е лишил жалбоподателката от "правото на защита на личните данни" по чл. 8, § 1 и § 2 от Хартата на основните права на Европейския съюз, като С. е била поставена в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент (ЕС) 2016/679, както и да получи ясна представа за това дали данните й са обработвани добросъвестно, за точно определени цели и въз основа на съгласието й или по силата на друго предвидено от закона легитимно основание.

 

По изложените съображения оспореният мълчалив отказ да бъдат предоставени на С. С. копия на носителите на лични данни – договор за предоставяне на к., както и съпътстващите го документи, въз основа на които се обработват личните й данни, се явява незаконосъобразен и следва да бъде отменен. Преписката следва да бъде върната на "Вивус.БГ" ЕООД за ново произнасяне по заявеното от С. С. искане за пълно предоставяне на носителите на лични данни, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени в мотивите на настоящото решение.

 

С оглед изхода на делото и на основание чл. 143 ал. 1 от АПК, основателна е и следва да се уважи претенцията на оспорващата страна за присъждане на разноските в производството и възнаграждението за адвокат. Разноските в производството възлизат на 40,00 (десет) лева внесени държавни такси, а като основателно се преценява и искането за присъждане на адвокатско възнаграждение. По делото оспорващата е представлявана от адв. Н. Р. от АК - Б., съгласно представени пълномощно и Договор за правна защита и съдействие от 18.02.2025 г., в който е посочено, че процесуалното представителство по делото се извършва от упълномощения адвокат. В същия договор е уговорена безплатна правна помощ по образуваното дело. Съобразно разпоредбите на чл. 38 ал. 1 т. 2 от Закона за адвокатурата и чл. 5 т. 1 от Наредба № 1/09.07.2004 г. за възнагражденията за адвокатска работа, адвокатите могат да оказват безплатно правна помощ на материално затруднени лица. На основание чл. 38 ал. 2 от ЗА, във вр. с чл. 8 ал. 2 т. 10 от Наредба № 1/09.07.2004 г. за възнагражденията за адвокатска работа следва да се определи възнаграждение за адв. Н. Р. в размер на минимално предвиденото – 900,00 (деветстотин) лева за оказаните безплатно правна помощ и съдействие на С. З. С.. На основание чл. 7 ал. 1 т. 7 от Наредба № 1/09.07.2004 г. за възнагражденията за адвокатска работа на пълномощника адв. Н. Р. следва да се присъди възнаграждение в размер на 450,00 лева за производството по депозиране на частна жалба пред Върховен административен съд, като подадена срещу определение, преграждащо развитието на производството.

При така приетото и на основание чл. 143 ал. 1 от АПК ответникът „Вивус.БГ“ ЕООД следва да бъде осъден да заплати на С. З. С. разноски в производството в размер на 40,00 (четиридесет) лева и на адвокат Н. Р. – сума в размер 1 350,00 (хиляда триста и петдесет) лева за оказана безплатно адвокатска помощ.

 

Водим от горното и на основание чл. 172 ал. 2 и чл. 173 ал. 2 от АПК съдът

 

 

Р Е Ш И:

 

 

ОТМЕНЯ мълчалив отказ на „Вивус.Бг“ ЕООД да се произнесе по заявление, подадено от С. З. С. с искане за предоставяне на копие от сключения между дружеството като администратор на лични данни и С. договор за к., ведно със съпътстващите го документи.

 

ВРЪЩА преписката на "Вивус.БГ“ ЕООД, ЕИК *********, в качеството му на администратор на лични данни за произнасяне по заявление от С. З. С., подадено на 10.01.2025 г., съгласно указанията и мотивите в настоящото решение в 30 - дневен срок от влизане в сила на решението.

 

ОСЪЖДА "Вивус.БГ“ ЕООД, ЕИК *********, със седалище и адрес на управление гр. София, район Лозенец, ул. „Димитър Хаджикоцев“ № 52-54 да заплати на С. З. С., [ЕГН], с адрес гр. Н. З., [улица]сумата от 40 (четиридесет) лева, представляваща съдебни разноски.

 

ОСЪЖДА "Вивус.БГ“ ЕООД, ЕИК *********, със седалище и адрес на управление гр. София, район Лозенец, ул. „Димитър Хаджикоцев“ № 52-54 да заплати на адвокат Н. В. Р. от АК - Б., [ЕГН], с [ЛНЧ] и съдебен адрес гр. Б., [улица]сумата от 1 350,00 (хиляда триста и петдесет) лева, представляваща адвокатско възнаграждение за оказана на С. З. С. от гр. Н. З. безплатно адвокатска помощ и съдействие на основание чл. 38 ал. 1 т. 2 от Закон за адвокатурата.

 

Решението подлежи на касационно обжалване пред Върховен административен съд на Република България в 14-дневен срок от съобщаването му.