Решение по дело №862/2025 на Административен съд - Пловдив

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Жалбоподателят Х. С. Б., [ЕГН], с адрес: [населено място], [улица], чрез адв. К. Р., със съдебен адрес: [населено място], [улица], оспорва изричен отказ за предоставяне на информация за обработваните лични данни, ведно с копия на договорите, носители на тези лични данни и справка за изплатените суми по тях, обективиран в писмо от 09.04.2025 г. на „Кеш кредит мобайл“ ЕАД, ЕИК ***, със седалище и адрес на управление [населено място] 1309, р-н „Илинден“, [жк], [улица], вх. „Г“, ет. 6.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска дружеството да бъде задължено в едномесечен срок да предостави информация за обработваните лични данни на жалбоподателя, ведно с копия на носителите на тези лични данни за периода 2018 г. – 2025 г. Твърди се, че искането е във връзка с упражняване на правата по чл. 15 и чл. 20 от Регламент 2016/679, а администраторът на лични данни е длъжен да предостави копие на личните данни на субекта според разпоредбите на регламента. Иска се присъждане на сторените в съдебното производство разноски.

Ответникът „Кеш кредит мобайл“ ЕАД, чрез процесуалния си представител юрк. Х. И., в писмено становище излага доводи за недопустимост и неоснователност на жалбата, като моли да бъде оставена без уважение. Твърди, че не е бил сезиран със посоченото в жалбата заявление за упражняване на права от жалбоподателя по ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и Съвета от 27.04.2016 година. Излага мотиви, че приложените от жалбоподателя документи доказващи кореспонденцията между него и дружеството не отговарят на изискванията на чл. 180 от ГПК, тъй като в тях липсва информация за лицата, които са ги издали и подписи. Счита, че не е осъществен отказ от страна на „Кеш кредит мобайл“ ЕАД за предоставяне на информация по регламент Регламент (ЕС) 2016/679, с което навежда доводи за липсата на годен за обжалване административен акт. Допълнителни аргументи по съществото на спора са изложени в нарочна молба от пълномощника юрисконсулт И. /л. 44-45/.

Окръжна прокуратура - Пловдив, редовно уведомена за възможността за встъпване в процеса, не изпраща представител.

По допустимостта на жалбата

Според публично достъпните данни, отразени от Регистър на финансовите институции по чл. 3а от Закона за кредитните институции (ЗКИ) (https://www.bnb.bg/RegistersAndServices/RSFIRegister/index.htm), актуални към 23.07.2025г., дейността на „Кеш кредит мобайл“ ЕАД е включително отпускане на кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства. Дружеството е вписано в регистъра под № 94 със заповед № РД22-2584/24.04.2013г. и има качеството на финансова институция по смисъла на чл. 3, ал. 1 от ЗКИ, извършваща дейност на територията на Република България и насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните).

Съгласно установената съдебна практика (Решение № 7101 от 28.06.2023г. на ВАС по адм. д. № 1825/2023г., V отд.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена, само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице, поради което жалбата като подадена в предвидения процесуален срок при наличието на правен интерес срещу акт, подлежащ на съдебен контрол, се явява допустима. Разгледана по същество, жалбата е основателна.

От фактическа страна съдът намира за установено следното:

На 17.03.2025 г. адв. Р. подава искане до „Кеш кредит мобайл“ ЕАД /[електронна поща]/ от името на жалбоподателя Х. Б. на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството му на субект, на когото се обработват лични данни да му бъдат предоставени копия от договори за парични заеми, сключен между него и посочената кредитна институция в периода 2018 г. до 2025 г., както и справка за изплатените суми по въпросните договори. Претенцията била мотивирана с това, че тези договори съдържат лични данни на кредитополучателя и те се обработват на основание сключени облигационни правоотношения. Искането е подписано с неоспорен в настоящото производство КЕП на адв. Р. и с приложено към него адвокатско пълномощно. С писмо от 09.04.2025 г. „Кеш кредит мобайл“ ЕАД /изпратено от [електронна поща]/ отговаря на Б., че дружеството обработва лични данни като всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. Дружеството обработва личните данни на адресата в обема съгласно Политиката за поверителност и защита на личните данни и за целите на извършване на дейността на кредитен посредник. Събирането, обработването и съхраняването на лични данни в регистрите на дружеството се извършва на хартиен, технически и/или електронен носител по централизиран и/или разпределен способ в помещения, съобразно с предвидените мерки за защита и оценката на подходящото ниво на сигурност на съответния регистър. Дейностите се състоят в операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично наблюдение на субектите на данни или в обработване на специалните категории данни и на лични данни. Дружеството следи за стриктното опазване на личните данни на клиентите си, както и за тяхното правомерно обработване. В писмото са изложени следните лични данни на жалбоподателя: три имена, ЕГН, IВАN, мобилен телефон, адрес по лична карта, семейно положение, работодател и адрес на електронна поща. Посочено е в писмото, че към настоящия момент няма лични данни, които да са в процес на обработка от дружеството.

С протоколно определение 03.06.2025 г. е приета и приложена по делото предоставената от адв. Р. „Политика за поверителност и защита на лични данни“ (л. 28-34) на дружеството, която е свалена от сайта на „Кеш кредит мобайл“ ЕАД.

При така установеното от фактическа страна, съдът формира следните правни изводи.

Според чл. 4, § 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“. Съгласно чл. 4, § 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Между страните се формира спор по следните факти: дали жалбоподателят е отправил искане по установения ред до „Кеш кредит мобайл“ ЕАД, с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договори за кредит и заявено изрично желание на лицето за получаване на копия от сключените договори за кредит и изплатените суми по договорите за периода от 2018 г. до 2025 г. и има постановен изричен отказ от администратора за предоставяне на исканите документи с изготвения от Дружеството отговор от 09.04.2025 г.

Не е спорно обстоятелството, че с оглед дейността на „Кеш кредит мобайл“ ЕАД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Не се спори, че между жалбоподателя и „Кеш кредит мобайл“ ЕАД са съществували облигационни отношения, произтичащи от сключени между страните договори за кредит. Макар тези договори да не са представени по делото, съдът приема за доказано, че жалбоподателят е субект, чийто лични данни са обработвани от дружеството – ответник и има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679. В предоставения писмен отговор до жалбоподателя Б., както и в производството пред съд администраторът не твърди, че не разполага с исканите данни, т. е той разполага с необходимата документация, за да изпълни задълженията си по Регламент 2016/679. В същия ответникът заявява, че към момента на искането няма лични данни, които да са в процес на обработка, но по делото не ангажират никакви доказателства в тази насока, т.е. не се установява личните данни на Х. Б. да не са в процес на обработка към датата на иницииране на производството пред администратора на лични данни „Кеш кредит мобайл“ ЕАД.

Съгласно чл. 39, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. С оглед съдържанието на искането от 17.03.2025 г. и отговора от 09.04.2025 г. следва да се приеме, че между жалбоподателя и "Кеш кредит мобайл" ЕАД са съществували облигационни отношения, предвид сключени договори за кредит. Поради това, дружеството има качеството на администратор и обработващ лични данни по смисъла на чл. 4, т. 7 и т. 8 от ОРЗД. Съгласно тези определения, "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка; "обработващ лични данни" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. Ето защо, актът, постановен по направеното искане за достъп до лични данни, независимо от неговата форма, се явява подлежащ на оспорване, а адресатът му има правен интерес от последното, доколкото твърди този акт да обективира отказ.

В разпоредбата на чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните ... ". Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В случая, отправеното от жалбоподателя искане до "Кеш кредит мобайл" ЕАД /л. 8/ има характер на такова по смисъла на чл. 37б, ал. 1 от ЗЗЛД и в него са попълнени реквизитите по чл. 37б, ал. 2 от ЗЗЛД, в частност че като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено и предоставянето на копия от сключените договори за кредит на конкретно посочен адрес. Подаденото заявление съдържа и нормативно изискуемата форма откъм реквизити и съдържание и е съобразено с изискванията на чл. 37в от ЗЗЛД. Съгласно чл. 37в, ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, а според чл. 37в ал. 2 от ЗЗЛД, при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. В процесния случай и доколкото заявлението е подадено от пълномощник, писменият акт за упълномощаване е приложен, както изисква законът.

Тук следва да се отбележи, че ако ответникът, като администратор на лични данни е имал съмнение с каква цел е завени искането на жалбоподателя за представяне на копия от сключените с него договори за кредит, е следвало да процедира по реда на чл. 12, § 2 от Регламент 2016/679 - "Администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните". В случая, от съдържанието на писмото е видно, че за администратора не е имало никаква пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Съгласно чл. 12, § 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/679, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин. В настоящия случай, искането до ответника е подадено с електронни средства /по и-мейл/, за да бъде предоставена информацията по идентичен начин.

По отношение на твърденията на ответника, че жалбоподателя разполага с копие на договорите, които са му изпратени на посочен в договора електронен адрес. В случая, поради процесуална пасивност от страна на ответника по делото не се ангажират доказателства на жалбоподателя да е било предоставяно първо копие от документите, съдържащи личните му данни (информация по см. на чл. 4, § 15 ОРЗД). Дори екземпляр от договорите за кредит да са били предоставени на Х. Б. към момента на тяхното сключване, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679, във връзка със съществуващите между него и администратора на лични данни взаимоотношения. В този смисъл е и константната съдебна практика. В тази насока са и предоставените от жалбоподателя и приети по делото без възражения писмени доказателства, а именно правилата на дружеството - „Политика за поверителност и защита на лични данни“, където е посочено: „1.Клиентите имат право на информация по всяко време. Може да изисквате информация за съхраняваните от Дружеството лични данни, както и техния произход, получатели или категории получатели, на които те се предават, и целта на съхранението. 2. … Правото на достъп се упражнява с отправено до Дружеството писмено заявление, съответстващо на законовите изисквания.„ .

Поради това, съдът приема, че подаденото от жалбоподателя искане от 17.03.2025 г. е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679, администраторът е длъжен да предостави копие от личните данни на субекта. Действително, копието на лични данни не би следвало винаги да се отъждествява с копие от документа, в който се съдържат тези данни. Въпреки това следва да се отбележи, че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по см. на чл. 15, § 1 от Регламент 2016/679.

В т. 1 от диспозитива на решение на СЕС от 26.10.2023 г. по дело С-307/22 е посочено, че член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че: администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент. В случая, по делото не се ангажират доказателства на жалбоподателя да е било предоставяно първо копие от документите, съдържащи личните му данни (информация по см. на чл. 4, § 15 ОРЗД), обратно на твърденията на ответника, изложени в нарочния отговор на жалбата, че Б. следва да е съхранил копия от документацията по облигационното правоотношение. Не са налице и ограничения по смисъла на чл. 23, § 1 и § 2 от Регламент 2016/679 по отношение обхвата на задълженията и правата, предвидени в чл. 12 - 22 Регламент 2016/679 на администратора на лични данни, който да обосновават издаването на пълен или частичен отказ по реда на чл. 37а от ЗЗЛД.

При това положение се обосновава изводът, че за "Кеш кредит мобайл" ЕАД, в качеството му на администратор на лични данни, възниква задължението по чл. 15, § 3 Регламент 2016/679 да предостави на субекта на данните –Х. С. Б., копие от поисканите лични данни, съдържащи се в съставените договори за кредит, сключени в периода 2018г. до 2025г., в заявената форма за получаване на посочения от лицето адрес за кореспонденция.

С отказа на администратора да предостави копия от сключените договори за кредит е преградена възможността жалбоподателя да упражни правата, които му предоставя чл. 15 от Регламент 2016/679. В този смисъл ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, параграф 2 Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че оспореният отказ е издаден в противоречие с материалноправните разпоредби и целта на закона, поради което подадената срещу него жалба се явява основателна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителни указания по тълкуването и прилагането на закона.

Предвид изхода на делото на жалбоподателя следва да се присъдят сторените съдебни разноски, които се доказват в размер на 10 лева, заплатени за държавна такса по производството. Основателна се явява и претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита. На основание чл. 38, ал. 2 от ЗАдв. съдът определя възнаграждението в размер 1 080.00 лева, за указаната на жалбоподателя от адвокат.

Воден от горното, Административен съд – Пловдив, V състав,

Р Е Ш И:

ОТМЕНЯ отказ на „Кеш кредит мобайл“ ЕАД ЕИК ***, със седалище и адрес на управление [населено място] 1309, р-н „Илинден“, [жк], [улица], вх. „Г“, ет. 6., обективиран в писмо от 09.04.2025 г., за предоставяне Х. С. Б., [ЕГН], с адрес: [населено място], [улица] на информация за обработваните лични данни, ведно с копия на носителите на тези лични данни и справка за изплатените суми по тях в периода 2018 г. до 2025 г., като незаконосъобразен

ВРЪЩА делото като преписка на „Кеш кредит мобайл“ ЕАД, ЕИК ***, със седалище и адрес на управление [населено място] 1309, р-н „Илинден“, [жк], [улица], вх. „Г“, ет. 6, за предприеме на действия по искането на Х. С. Б., [ЕГН], с адрес: [населено място], [улица], съобразно дадените от съда задължителни указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ едномесечен срок за изпълнение на съдебното решение, считан от влизането му в сила.

ОСЪЖДА „Кеш кредит мобайл“ ЕАД, ЕИК ***, със седалище и адрес на управление [населено място] 1309, р-н „Илинден“, [жк], [улица], вх. „Г“, ет. 6, да заплати на Х. С. Б., [ЕГН], с адрес: [населено място], [улица], сумата от 10 (десет) лева, представляваща съдебни разноски.

ОСЪЖДА „Кеш кредит мобайл“ ЕАД, ЕИК ***, със седалище и адрес на управление [населено място] 1309, р-н „Илинден“, [жк], [улица], вх. „Г“, ет. 6, да заплати на адвокат К. П. Р., вписан в Адвокатска колегия - [населено място], със съдебен адрес: [населено място], [улица], сумата от 1 080.00 (хиляда и осемдесет) лева, представляваща възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Решението подлежи на обжалване пред Върховен административен съд на Република България в 14-дневен срок от съобщаването му на страните.