Решение по адм. дело №585/2025 на Административен съд - Сливен

Производство по реда на чл. 145 от АПК, във вр. с чл. 39 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба, подадена от П. Й. Х. от [населено място], чрез адв. П. П. САК против писмо с изх.№ 1621/09.09.2025г. на "Креди Йес" ООД гр. Хасково, в качеството му на администратор на лични данни, в частта, с която дружеството отказва предоставяне на копие на сключен между тях договор за паричен заем, който съдържа лични данни и информация за извършваните плащания по посочения договор във връзка със заявление № 1175/20.08.2025г.

Оспорващата твърди, че с оспореното писмо дружеството, в качеството на администратор на лични данни, е отказало да й предостави всички данни, които обработва, а именно копие на сключен между тях договор за паричен заем, който съдържа нейните лични данни и справка за постъпилите погашения по този договор, както и за погашения на кои компоненти от съответния договор са използвани от кредитора заплатените суми. Счита, че отказът на дружеството е незаконосъобразен. Позовава се на правото си на достъп по чл. 15, § 3 и чл.20 от Регламент /ЕС/ 2016/679 на ЕП и на Съвета от 27.04.2016г. относно защита на данните/ОРЗД/. Моли съда да бъде отменен отказът и да бъде задължено дружеството да й предостави копие на договора за кредит и информация относно извършените плащания по него.

В съдебно заседание оспорващата не се явява и не се представлява. В писмено становище от п. – адв. П. П. САК жалбата се поддържа по изложените в същата съображения. Претендират се разноски. /л.45/

Ответникът по жалбата – дружеството "Креди Йес" ООД гр. Хасково, в качеството на администратор на лични данни, не се явява, не се представлява. В писмено становище по жалбата от п. – юриск. К. твърди, че администраторът на лични данни е изпълнил задължението си по чл. 15 от Регламент 2016/679, като е предоставил безвъзмездно копие на обработваните лични данни в нарочен формуляр. Счита, че няма задължение да предоставя копия от документи, носители на лични данни.

При преценка допустимостта на производството съдът намери, че жалбата е подадена от лице, чиято правна сфера е засегната неблагоприятно от постановения отказ. Жалбата на П. Х. е депозирана в срок, тъй като заявлението е входирано в „Креди Йес“ ООД гр.Хасково на 20.08.2025г. / л.32/, отказът е постановено на 09.09.2025г., а жалбата до съда е подадена като жалба срещу писмо с изх.№ 1621/09.09.2025г., в частта, с която е отказано предоставяне на копие на сключен между тях договор за паричен заем, който съдържа лични данни и информация за извършваните плащания по посочения договор на 11.09.2025г. /л.2/.

Видно от доказателствата по делото – писмо изх.№ ППН-01-1559#1/19.09.2025г. на Комисия за защита на личните данни липсват пречки по чл. 39, ал. 4 от ЗЗЛД. /л.26/. Оспореният отказ е годен предмет на съдебен контрол по смисъла на чл. 39, ал. 1 от ЗЗЛД.

Ето защо съдът приема, че жалбата е допустима.

Разгледана по същество жалбата е основателна.

Още с разпореждането за насрочване съдът е указал на страните, че доказателствената тежест е върху жалбоподателя, доколкото при отказ, съгласно чл. 170, ал. 2 от АПК, оспорващият трябва да установи, че са били налице условията за издаването на акт с позитивно съдържание. Релевантните за спора факти се установяват само по писмени доказателства, които не са оспорени по предвидения процесуален ред.

От представените по делото доказателства се установява, че на 20.08.2025 г. в дружеството "Креди Йес" ООД гр. Хасково е постъпила молба с вх.№ 1175 от П. Х. /л.32/, която има за предмет искане да й бъде предоставено потвърждение за обработваните от дружеството нейни лични данни, във връзка със сключен договор за кредит, информация за извършените плащания по договор за кредит, от която да е видно в какъв размер и на кои дати са постъпили погашения по горепосочения договор, както и за погашения по кои компоненти от съответния договор са използвани от кредитора заплатените суми, а също и да се предостави копие от сключения между тях договор за кредит. В заявлението, подадено чрез адв. П. П. САК, П. Х. се позовава се на правата си по чл. 15 и чл.20 от Регламент/ЕС/2016/679 на ЕП и на Съвета от 27.04.2016г., като субект на данните.

Дружеството не отрича качеството си на администратор на данните и представя доказателства, че с писмо изх. № 1621/09.09.2025 г. е отговорило на П. Х., като е предоставило безвъзмездно попълнен Формуляр за предоставяне на информация по чл. 15 от Общия регламент относно защита на данните /л.31/, но отказва да й предостави копие от плащанията по договора, както и копие от договора за кредит, без да оспорва, че такъв е сключен с оспорващата. Мотивира отказът си с обстоятелството, че няма задължение да предоставя копие на обработваните лични данни – документи или други носители на информация. / л.28/

Въз основа на установената фактическа обстановка съдът прие от правна страна следното:

Подаденото на 20.08.2025г. от П. Х. заявление с вх.№ 1175/20.08.2025г. има реквизитите на заявление по чл. 37б от ЗЗЛД, вр. с чл. 15 от ОРЗД. Съгласно чл. 2 §3 от Регламента, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. На 09.09.2025г. ответникът е изпратил отговор до лицето по електронен път / л. 28/, придружен с формуляр, в който са посочени обработваните от дружеството лични данни – име, ЕГН, адрес по ЛК, номер на ЛК, тел. номер, емейл адрес /л.31/. Видно от съдържанието на отговора, дружеството смята, че с това е изпълнило задължението си по чл. 15 от Регламента, като е предоставило информация за личните данни на заявителя, които се обработват от администратора. При това дружеството заявява изрично, че счита искането за предоставяне на копие от договора за кредит за неоснователно и отказва да издаде копия на тези документи.

При съвкупната преценка на представените доказателства, съдът приема, че основният спорен въпрос по делото е дали администраторът на лични данни дължи предоставянето на копия от документите, носители на лични данни, които се обработват от администратора - в случая това са копие на договора за кредит, както и да бъдат предоставени свързани с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили такива за погашения по сключения договор за кредит, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми /в това число главница, лихви, такси, неустойки и други/.

Като взе предвид направените в жалбата оплаквания и доводите на страните, съдът прие от правна страна следното:

Според чл. 16, § 1 от Договора за функционирането на Европейския съюз (ДФЕС), всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право, съгласно чл. 8, параграф 1 от Хартата на основните права на Европейския съюз. С цел защита на това право ЕС провежда законодателна политика, за да се гарантира последователно и високо ниво на защита на физическите лица, за да се премахнат препятствията пред движението на лични данни в Съюза, за да бъде равностойно във всички държави членки нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни. За реализиране на тази цел е приет Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Същият ОРЗД, съгласно чл. 99 е задължителен в своята цялост и се прилага пряко във всички държави членки, считано от 25.05.2018 г. Тоест, посочените привръзки обуславят приложението на правото на ЕС. Освен Регламента, приложим материален закон към казуса се явява и Закон за защита на личните данни /обн. ДВ бр. 1 от 2002 г. /, доколкото тези обществени отношения не са уредени от самия Регламент/вж. чл. 1 от Закона/. Правото на ЕС не съдържа нарочни процесуални правила. За този вид защита е приложимо националното процесуално право. В случая съгласно чл. 39, ал. 1 от ЗЗЛД, приложим процесуален закон се явява АПК.

ЗЗЛД предвижда на национално ниво защита на субекта на данни при нарушаване на правата му по ОРЗД и по ЗЗЛД чрез сезиране на КЗЛД (чл. 38, ал. 1 от ЗЗЛД) или сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК ( чл. 39, ал. 1 от ЗЗЛД). Няма изискване субектът на данни след като изчерпи възможността да защити правата си по административен ред да сезира съда. В ал. 4 на чл. 39 от ЗЗЛД е посочено само да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В случая по делото са представени надлежни от КЗЛД доказателства за това, че не е образувано производството пред КЗЛД, поради което не е налице визираната от закона процесуална пречка за сезиране на съда.

Безспорно е в случая, че личните данни на оспорващата Х. са обработвани от ответника „Креди Йес“ ООД гр. Хасково, поради което същият като субект на лични данни има право на достъп до обработваните от него лични данни, съгласно чл. 15 от ОРЗД. Именно това право е реализирано от Х. чрез отправено на 20.08.2025 г. заявление с необходимите реквизити по чл. 37б от ЗЗЛД до ответника. Същият има качеството на администратор на личните й данни, съгласно определението по чл. 4, т. 7 от ОРЗД. Оспорващата е поискала да й бъде предоставена както информация за обработваните лични данни по повод сключен договор за кредит, така и носителят на тези лични данни – копие на договора за кредит, както и информация за плащанията и погасяванията по него, за да извърши проверка на обработваните данни. Съответно за ответника – администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от оспорващата заявление, като съгласно разпоредбата на чл. 12, § 3 от ОРЗД това е следвало да стане без ненужно забавяне.

Ответникът не отрича, че на 11.09.2025 г. е изпратил по електронен път отговор (имейл), с който е предоставил на оспорващата, чрез адв.П. в структуриран вид копие на обработваните лични данни с информация за основанията и целите на обработката им и за срока на съхранението им, но не и копие на носителя на личните й данни – в случая договор за потребителски кредит и плащанията по него. При това в отговора е формулиран изричен отказ за предоставянето на копието на договора и погасяването по него. Изложени са съображения, че задължение за предоставяне на документи и други носители на лични данни не съществува за администратора на лични данни.

Не са налице доказателства и не се твърди копие на договорът за потребителски кредит и погасителните вноски да са предоставени на оспорващата впоследствие. Поради това съдът приема, че като не е предоставил копие от договора за потребителски кредит и плащанията по него и е заявил изрично, че няма задължение за това, ответникът е направил изявление за отказ по искането на оспорващата по чл. 37б от ЗЗЛД, в тази му част.

Съдът на Европейския съюз (СЕС) е имал повод да тълкува чл. 15, § 3, първо изречение от ОРЗД, който гласи, че администраторът предоставя копие от личните данни, които са в процес на обработване. Изхождайки от принципа на прозрачност, предвиден в чл. 12, § 1 от Регламент 2016/679 СЕС приема в Решението си от 04.05.2023 г. по дело С-487/21, че правото да се получи от администратора копие на лични данни, които са в процес на обработване, изисква на субекта да се предостави точна и разбираема реплика на всички тези данни. Съдът посочва, че това право предполага правото на получаване на копие от извлечения от документи и дори цели документи или извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права. СЕС подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

В чл. 6, § 1, б. "б" от ОРЗД е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай (обработването на лични данни на жалбоподателя е във връзка със сключен договор за кредит). В случая съдът приема, че предоставянето на същите е било задължително, за да може оспорващата ефективно да упражни предоставеното му с Регламента право. Без значение е целта на това искане и дали оспорващата съхранява или не своя екземпляр от договора. Това са обстоятелства неотносими към задължението на администратора на личните данни съгласно ОРЗД и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая ответникът не е предоставил необходимата информация за проверка на законосъобразното обработване на лични данни. В отговора му конкретният договор, посочен като основание за обработката на данни, не е индивидуализиран. Само е посочено, че обработва лични данни във връзка с договор за кредит.

Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на лични данни. Същите са конкретно изброени в чл. 37а, ал. 1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от ОРЗД, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

Поради тези съображения жалбата се явява основателна. Оспореният частичен отказ следва да бъде отменен, като незаконосъобразен. Преписката следва да бъде върната на ответника, като администратор на лични данни, за произнасяне по заявлението на П. Х. и предоставяне на исканите документи и данни в 14-дневен срок от влизане в сила на настоящото решение, при съобразяване с дадените указания по тълкуването и прилагането на закона в същото.

При този изход на спора ответникът следва да бъде осъден да заплати на оспорващата разноски за държавна такса в размер на 10 лева /л.9/ и заплатено адвокатско възнаграждение в размер на 900 лева /л.48/

Воден от горните мотиви, на основание чл. 172, ал. 2 от АПК, във вр. с чл. 173, ал. 2 и чл.174 от АПК, Административен съд Сливен

 

Р Е Ш И :

 

ОТМЕНЯ по жалба на П. Й. Х. от [населено място] отказ на „Креди Йес“ ООД гр.Хасково да й предостави копие от договор за кредит, съдържащ лични данни, както и на свързани с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили такива за погашения по сключения договор за кредит, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми /в това число главница, лихви, такси, неустойки и други/, който отказ е обективиран в писмо изх. № 1621/09.09.2025 г. на дружеството "Креди Йес" ООД гр. Хасково, действащо в качеството му на администратор на лични данни, като незаконосъобразен.

 

ВРЪЩА преписката на „Креди Йес“ ООД гр.Хасково, представлявано от В. М. И. за ново произнасяне по заявление на П. Й. Х. с вх.№ 1175/20.08.2025г., с което се иска да й бъде предоставено копие на носител на личните й данни – договор за кредит, както и на свързани с направените плащания лични данни, от които да е видно суми в какъв размер и на кои дати са постъпили такива за погашения по сключения договор за кредит, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми /в това число главница, лихви, такси, неустойки и други/, при съобразяване с дадените с настоящото решение указания по тълкуването и прилагането на закона.

 

ОПРЕДЕЛЯ на „Креди Йес“ ООД гр.Хасково, представлявано от В. М. И. 14-дневен срок за произнасяне, считано от влизане в сила на настоящото съдебно решение.

 

ОСЪЖДА „Креди Йес“ ООД гр.Хасково, ул.“България“ № 196, представлявано от В. М. И., ЕИК ********* да заплати на П. Й. Х. от [населено място] [улица], *** сумата от 910 (деветстотин и десет) лева, представляваща съдебни разноски.

 

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните.

 

Препис от решението да се съобщи на страните.