Решение по адм. дело №726/2025 на Административен съд - Стара Загора

Производството е по реда на чл. 145 и сл. от , във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба от А. С. Х. с постоянен адрес в [населено място], чрез упълномощен представител ЕАД М., представлявано от адв. М. М., против отказ на “А. ТИ ЕФ ГРУП“ АД, със седалище в [населено място], да предостави всички носители на лични данни, въз основа на които обработват данните на А. С. Х., за периода 02.01.2020г. до 22.05.2025г., като договори, стандартни европейски формуляри, погасителни планове и др., подписани от Х., във връзка с отпускане на заеми, постановено по отправено от А. Х. на 23.05.2025г. писмено искане за достъп до личните й данни на осн. чл.15 от Регламент ЕС 2016/679 на ЕП и Съвета от 24.02.2025г.

Твърди се от жалбоподателката, че в получения от администратора на личните й данни отговор от 19.06.2025г., по повод на отправеното до него заявление за достъп до лични данни на осн. чл.15 и чл.20 от Регламент /ЕС/ 2016/679 на ЕП и Съвета от 23.05.2025г. за предоставяне на информация за обработваните нейни лични данни, целите за обработването, категорията лични данни, категорията получатели, пред които са разкрити личните й данни, ведно с копия от обработваните лични данни, вкл. и изискала да й се предоставят копия от носителите на личните данни за периода 02.01.2020г. – 22.05.2025г., се съдържал данни единствено и само за Договор за потребителски кредит № 610656 от 10.11.2023г., активен и непогасен, като с отговора се предоставени копия от личните данни единствено и само за този договор, включващи самия договор и Приложения №№1-2 към него, както и данни относно Договор за потребителски кредит № 549209, ведно с Приложение №2 към него и погасителния план към договора. В отговора обаче не се съдържат и не се предоставят данни и за други сключени от Х. с конкретното дружество договори за кредит в така заявения в искането период от време. Предвид на това се счита, че е формиран изричен отказ да се предоставят заявените с искането лични данни относно всички договори за кредит, сключени между А. С. Х. и “А. ТИ ЕФ ГРУП“ АД за периода 02.01.2020г. до 22.05.2025г. Този отказ жалбоподателката счита за постановен при неправилно приложение за българското и европейски законодателство и в противоречие с практиката на съдилищата в Р. България и СЕС.

От ответника, чрез процесуален представител, се представя становище, като се поддържа такова за недопустимост на жалбата, поради липса на правен интерес от обжалването, поради удовлетворяване на подаденото искане, т.е. липсва формиран отказ, както и че жалбата е подадена извън срок. В евентуалност се иска отхвърляне на жалбата като неоснователна. Претендират се разноски по представен списък по чл.80 от ГПК. В допълнително представено становище се сочи, че между страните не е доказано сключване на договори за паричен заем в периода 2020-2023г., а от представена справка по делото са удостоверени сключени 3 броя договори за кредит с №№610656, 549209, за които са предоставени данни с отговора, както и договор № 554847, който съдържа идентични лични данни на кредитополучателя, предоставени като извлечение към отговора по искането. Прави възражение за прекомерност на уговореното възнаграждение за един адвокат.

Чрез приложената по делото административна преписка по делото е установено, че на 23.05.2025г. от електронен адрес [електронна поща] от името на А. С. Х. е изпратено електронно до ITF Group DPO искане за предоставяне на информация относно обработвани лични данни на А. С. Х. за периода 02.01.2020г. до 22.05.2025г. /л.6-7/.

На 19.06.2025г. на посочената в искането електронна поща от електронен адрес [електронна поща] е изпратен и получен отговор по искането на Х. за достъп до лични данни от 23.05.2025г. С отговора /л.43-45/ е разяснено в какво качество и “А. ТИ ЕФ ГРУП“ АД обработва лични данни на г-жа Х. и че те са събрани във връзка с договор за потребителски кредит №640656, който към онзи момент е активен. Посочена е информация какви данни се обработват от дружеството, като към отговора са приложени копия от личните данни, които са в процес на обработка, както и копия от документи - потребителски кредит № 610656 от 10.11.2023г., ведно с Приложения №№1-2 към него /л.45-50/, както Договор за потребителски кредит № 549209, ведно с Приложение №1-2 към него и погасителния план към договора /л.51-55/.

От служебно изискана информация, по делото е постъпило писмо с изх. №ППН-01-1183#1 от 30.07.2025 г. на П. на КЗЛД /л.36/, в което е удостоверено, че към 28.07.2025г. пред Комисията за защита на личните данни няма висящо или приключило административно производство, инициирано от А. С. Х. срещу „АЙ ТИ ЕФ ГПУП“ АД. От БНБ по делото е постъпило писмо вх. № 6404 /л. 64/, към което се прилага справка за предоставени кредити от финансовата институция „АЙ ТИ ЕФ ГРУП“ АД на А. С. Х. за периода 31.10.2020г.- 30.09.2025г., /л.65-67/.

От правна страна, Съдът приема следното:

Приложими в случая са Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, пряко приложим в държавите членки на ЕС, считано от 25.05.2018 г., и Закона за защита на личните данни. Съгласно легалното определение, дадено в §1, т. 1 и т. 4 от ДР на ЗЗЛД, по смисъла на този закон "лични данни" e понятието по чл. 4, т. 1 от Регламент /ЕС/ 2016/679, а "обработване" е понятието по чл. 4, т. 2 от Регламент /ЕС/ 2016/679. Според чл. 4, §1 от регламента "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /"субект на данни"/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Параграф 2 на чл. 4 от регламента гласи, че "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В §1, т. 2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон "администратор", с изключение на администратора по глава осма, е понятието по чл. 4, т. 7 от Регламент /ЕС/ 2016/679, а съгласно т. 3 от §1 на ДР на ЗЗЛД "обработващ лични данни" е понятието по чл.4, т.8 от регламента. Съответно, според чл. 4, §7 и §8 от Регламент /ЕС/ 2016/679 "администратор" е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. "Обработващ лични данни" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.

В чл. 15 от Регламент /ЕС/ 2016/679, е предвидено "право на достъп на субекта на данните", като в §1 е прието, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните.... ". Според чл. 15, §3 от Регламент /ЕС/ 2016/679, "администраторът предоставя копие от личните данни, които са в процес на обработване.". Според чл. 12, §3 от Регламент /ЕС/ 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

По допустимостта на жалбата:

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни /чл. 38, ал. 1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл. 39, ал. 1 от ЗЗЛД/. В националния закон не е предвидено императивно изискване субектът на данни да се обърне за защита първо към КЗЛД и едва, след като изчерпи възможността да защити правата си по административен ред, да сезира съда с жалба. Единственото ограничително условие за допустимостта на съдебната защита е регламентирано в ал. 4 на чл. 39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. По делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гл. т. на предмет и страни, с настоящото съдебно производство, поради което не е налице визираната от закона особена процесуална пречка за сезиране на съда с процесния спор.

Жалбата е подадена в срока по чл.149, ал.1 от АПК, тъй като отговора е получен на посочения с искането електронен адрес на 19.06.2025г., а жалбата до съда е подадена на 01.07.2025г. Съдът намира за частично основателно възражението за липса на правен интерес от оспорването. При съпоставка на съдържанието на искането и съдържанието на отговора, ведно с приложенията към него и данните от приложената от БНБ справка за сключени договори за паричен заем между спорещите страни, е удостоверено, че в посочения в искането период от време между страните са сключени общо три договора за кредити. Към отговора се прилагат носителите, съдържащи личните данни на г-жа Х., които касаят само два договора за паричен заем, сключени между спорещите в заявения с искането й период от време. Към отговора на ответника от 19.06.2025г. поради това не са приложени всички носители на лични данни на субекта, като липсват тези, които са свързани и с договор № 554847. Ето защо, възражението на ответника, че не е налице правен интерес да се оспорва отговора му от 19.06.2025г., съотв. няма формиран отказ от негова страна, е само частично основателен, защото чрез въпросния отговор има формиран частичен отказ по подаденото от Х. искане за предоставяне на всички носители на личните й данни по сключените от нея с ответното дружество договори за паричен заем. Предвид на това и оспорването на А. Х. против отказ от 19.06.2025г. следва да се остави частично без разглеждане и производството да се прекрати, като пред съда остане за разглеждане оспорването й против формиран отказ на „АЙ ТИ ЕФ ГРУП“ АД само в частта да се предоставят носителите на лични данни на Х., въз основа на които те се обработва в периода 02.01.2020г. – 22.05.2025г. по силата на сключен в този период договори за паричен заем с № 554847.

В тази си част искането Съдът намира за основателно.

По правната си същност подаденото от Х. искане от 23.05.2025г. е заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД, съдържащо реквизитите по чл.37в от ЗЗЛД, във връзка с упражняване на правата й по на чл. 15 и чл.20 от Регламент /ЕС/ 2016/679, като по същото искане администраторът на лични данни, какъвто безспорно е „Ай Ти Еф Груп“ АД, дължи произнасяне в срока, визиран в специалната разпоредбата на чл.12, §3 от Регламент /ЕС/ 2016/679.

Съгласно §2 на чл. 4 от Регламент ЕС 2016/679 "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В случая до администратора на данни /ответникът/ е подадено на 23.05.2025г. от субект на лични данни редовно искане по чл.15 от регламента, съдържащо ясно заявено такова за достъп до всички лични данни на субекта за посочен от него период, вкл. и чрез предоставяне на техните носители, обективиращи личните данни. При съобразяване на легалното определение на понятието „обработване“ на лични данни, включващо и операции по съхранението на такива, несъмнено следва, че при отправено искане за достъп до обработвани лични данни на субекта на същите, съдържащо и период, администраторът дължи произнасяне по това искане, ако за визирания в искането период той извършва и съхранение на предоставени му лични данни.

Според съображение 39 на регламента, „……Личните данни следва да се обработват, единствено, ако целта на обработването не може да бъде постигната в достатъчна степен с други средства. С цел да се гарантира, че срокът на съхранение на личните данни не е по-дълъг от необходимия, администраторът следва да установи срокове за тяхното изтриване или периодичен преглед“. Ответникът, в качеството му на администратор на лични данни, обработва такива, което включва и тяхното съхранение /по арг. на определението, дадено в чл.4, §2 от регламента/. Срокът на съхранение е определен като законово задължение според действащото право, или това е този, необходим за целите на легитимните интереси на администратора, като при всички случаи няма да се съхранява информация по-дълго от разумно необходимото за изпълнение на конкретните цели, с които е събрана и за които субектът е уведомен.

По делото са събрани доказателства /вж. извлечението от кредитен регистър, изпратен от БНБ/, че между спорещите страни към датата на заявлението за достъп в заявения период между спорещите страни са сключени три договора за парични заеми. Т.е., при съобразяване легалната дефиниция на понятието „обработване на лични данни“, то следва, че в така посочения период в искането от страна на ответника се извършва „обработване“ на онези лични данни на Х., които се съхраняват от администратора в изпълнение на законовите му задължения по всеки един от сключените с него и субекта на лични данни договори за отпуснат паричен заем. В този смисъл, напълно допустимо се явява искане на субекта, отправено по реда на чл.15 от Регламента, което включва и такова за достъп до онези данни, които са предоставени за обработване на администратора на основание сключени договори от предходен период, независимо дали са прекратени, ако обработваните по тези договори лични данни, попада в период на съхранението им. Ето защо, искането, като съдържащо такова за предоставяне на информация за обработваните лични данни на Х. за визирания период, вкл. и искането да се предоставят всички носителите на обработваните лични данни за искания период, е правно основано и допустимо, като по него се дължи изрично произнасяне от задълженото лице.

Пред съда се твърди негативно засягане на правата на субекта на лични данни от получения отговор на неговото искане от 19.06.2025г., тъй като с него е формиран отказ на ответника да предостави всички носители, съдържащи лични данни на А. Х. за периода 02.01.2020г. - 22.05.2025г., тъй като чрез отговора от 19.06.2025г. и приложените към него носители на лични данни, не е налице пълна удовлетвореност на подаденото от Х. изрично искане, което в случая е в нарушение на закона и съотв. има формиран от ответника отказ, в частта на искането да се предоставят копия от всички носителите, в които се съдържат личните й данни, а това включва и носителите на лични данни във връзка с отпуснат на Х. въз основа на договор № 554847 паричен заем, защото и въз основа на него ответникът е извършвал и продължава да извършва обработване на личните данни на жалбоподателката по см. на нормата. Въпреки, че дължи изцяло позитивно произнасяне, защото въпросният договор попада в заявения с искането период от време, то видно от съдържанието на отговора и приложенията към него, те не съдържат носителите на лични данни, свързани с горевизирания договор за паричен заем. Така е формиран частичен отказ, който в тази си част се явява незаконосъобразен и следва да се отмени, а преписката да се върне на ответника за ново произнасяне при съобразяване на даденото с това решение тълкуване на закона.

За пълнота на изложението следва да се посочи и следното: между ответника и жалбоподателката са налице отношения, предполагащи и изискващи обработката на определена категория лични данни, която обработка в случая не се отрича, за която дружеството е задължено да обработва законосъобразно, в съответствие с приложимото европейско и национално законодателство, което в случай на упражнено право по чл.15 от регламент ЕС 2016/679 от субекта на тези лични данни, задължава ответника да се произнесе по надлежен начин. Основните принципи, въведени от Регламент /ЕС/ 2016/679/ по повод обработването на лични данни са тези, съдържащи се в чл. 5, § б. „а“ и „б“, съгласно които личните данни следва да са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните /„законосъобразност, добросъвестност и прозрачност"/, както и да са събирани за конкретни, изрично указани и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тези цели, като отговорността за това, респективно и задължението да докаже изпълнението на тези принципи лежи изцяло върху администратора на личните данни, който всъщност е субектът, определящ предварително категорията лични данни, които ще обработва и целите на обработката. Принципите на отчетност и прозрачност са призовани в защита на правата и интересите на субектите на лични данни, доколкото те следва да могат по всяко време и на правно основание да изискат от администратора доказателства, че обработката на данните е законосъобразна по смисъла на регламента. От своя страна чл. 6, §1 от Регламент /ЕС/ 2016/679 гласи, че обработването е законосъобразно, само ако и доколкото е приложимо поне едно от изброените в разпоредбата условия, измежду които съгласно б. „а“ субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели, а съгласно б. „б“ обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор.

Съгласно чл. 15, §1 от Регламент /ЕС/ 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват негови лични данни и ако това е така, да получи достъп до данните, в т. ч. и информация, относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработката, за вида и обема на обработваните данни, и за целите и основанията, въз основа на които се осъществява обработката за конкретните цели. Спазвайки принципите на прозрачност и отчетност администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването /чл. 12, §1 от регламента/ в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, чрез която де факто субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т. ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая наличието на сключени договори за паричен заем. Правото на достъп е необходимо, за да може субектът на данните евентуално да упражни правото си на коригиране, правото си на изтриване /право „да бъдеш забравен"/, правото си на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от регламента.

От жалбоподателя е направено искане за разноски, които се доказват в размер на 10 лв., заплатена държавна такса, но с оглед извода за частична основателност на претенцията й, следва да й се присъдят разноски в размер на 5 лв., като същата бъде осъдена да заплати на ответника разноски за един адвокат в размер на 300 лв., съгласно представения на л.39, гръб договор за правна защита и съдействие.

По направеното от адв. М. искане за определяне на адвокатско възнаграждение за осъществена от него безплатна помощ и като се съобразиха представените доказателства за упълномощаване на ЕАД М., представлявано от адв. М. да осъществи процесуално представителство по настоящото дело в полза на жалбоподателката, като укаже адвокатска помощ е безплатна на осн. чл.38, ал.1, т.2 /л.73, гръб/, както и доказателството, че ЕАД М. е регистрирано по ДДС дружество /л. 74/, ответникът следва да бъде осъден да заплати в полза на ЕАД М., представлявано адв. М. адвокатско възнаграждение в размер на 900.00 лв., определено на осн. чл. 8, ал. 2, т. 10 от Наредба №1/2004 г. за възнагражденията за адвокатска работа, във връзка с чл. 38, ал. 2 от ЗАдв., ведно с дължимото се върху него ДДС в размер на 180 лв., на осн. §2а, ал.1 от Наредба №1/2004 г., с оглед представените данни за регистрация на дружеството по ЗДД.

Водим от горното и на осн. чл.172 ал. 2, във връзка с чл.173 ал. 2 и чл.174 от АПК, Съдът

Р Е Ш И :

ОСТАВЯ БЕЗ РАЗГЛЕЖДАНЕ жалбата на А. С. Х. от [населено място] против отказ, обективиран в отговор от 19.06.2025г. на „АЙ ТИ ЕФ ГРУП“ АД, [населено място], в частта да се предоставят копия от всички носители на лични данни във връзка със сключени между А. С. Х. и „АЙ ТИ ЕФ ГРУП“ АД, [населено място] договори за паричен заем с №№ 610656 [рег. номер] в периода 02.01.2020г. – 22.05.2025г. и прекратява производството в тази му част.

Решението, с характер на определение, подлежи на касационно обжалване пред ВАС в срок 7 дни от съобщаването му на страните с частна жалба.

ОТМЕНЯ по жалба на А. С. Х. от [населено място] отказ на „АЙ ТИ ЕФ ГРУП“ АД, [населено място], обективиран в отговор от 19.06.2025г., в частта да се предоставят копия от всички носители на лични данни във връзка със сключен между А. С. Х. и „АЙ ТИ ЕФ ГРУП“ АД, [населено място] договор за паричен заем с № 554847, в периода 02.01.2020г. – 22.05.2025г.

ВРЪЩА делото, като преписка на „АЙ ТИ ЕФ ГРУП“ АД, [населено място] за ново произнасяне по подаденото от А. С. Х. от [населено място] искане от 23.05.2025 г., в частта да се предоставят копия от носителите на лични данни във връзка със сключен между А. С. Х. и „АЙ ТИ ЕФ ГРУП“ АД, [населено място] договор за паричен заем с № 554847, в периода 02.01.2020г. – 22.05.2025г., при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение.

На основание чл. 174 от АПК определя 14-дневен срок за произнасяне от влизане в сила на съдебното решение.

ОСЪЖДА „АЙ ТИ ЕФ ГРУП“ АД, [населено място], [ЕИК], със седалище и адрес на управление [населено място], район Лозенец, [улица], бл. П. Л., офис Център, ет.8, представлявано от Изп. Директор С. А., да заплати на А. С. Х., [ЕГН] разноски по делото в размер на 5 /пет/ лева.

ОСЪЖДА „АЙ ТИ ЕФ ГРУП“ АД, [населено място], [ЕИК], със седалище и адрес на управление [населено място], район Лозенец, [улица], бл. П. Л., офис Център, ет.8, представлявано от Изп. Директор С. А. да заплати на адв. М. М., АК Стара Загора осн. чл.38, ал.2 от Закона за адвокатурата възнаграждение в размер на 1080.00 лв. с ДДС /хиляда и осемдесет/.

ОСЪЖДА А. С. Х. от [населено място], [ЕГН] да заплати на АЙ ТИ ЕФ ГРУП“ АД, [населено място], [ЕИК], със седалище и адрес на управление [населено място], район Лозенец, [улица], бл. П. Л., офис Център, ет.8, представлявано от Изп. Директор С. А. разноски по делото в размер на 300 /триста/ лева.

Решението в тази му част подлежи на касационно обжалване пред ВАС в 14-дневен срок от съобщаването му на страните.