Решение по дело №147/2025 на Административен съд - Стара Загора

Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс (АПК), във вр. с чл.39, ал.1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалбата на К. Г. П. от [населено място], подадена чрез Еднолично адвокатско спужество М., представлявано от адв. М. М. - АК Стара Загора, срещу отказ от 04.02.2025 г. на администратор на лични данни „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П. – управител, да предостави всички носители на лични данни, въз основа на които обработва личните данни на К. Г. П. (договори, стандартни европейски формуляри и др.) за периода от 01.12.2019г. до 06.01.2025г.

В жалбата е описана следната фактология: Въз основа на изпратено на 06.01.2025 г. от пълномощника на жалбоподателката молба/искане до „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД [населено място], основано на чл.15 и чл.20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, е поискано предоставяне на обработваните от ответника лични данни на жалбоподателката, целите на обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези лични данни, както и копие от личните данни и всички носители на лични данни за периода от 01.12.2019 г. до 06.01.2025 г. В получен на 04.02.2025 г. отговор от длъжностно лице по защита на личните данни при ответника, изпратено по електронна поща до пълномощника на жалбоподателката, е предоставена информация и копие от обработваните лични данни на П. по повод сключени договори за потребителски кредит от 04.10.2024 г. и 30.12.2024 г., но е отказано предоставяне на копия от носителите на лични данни, което искане е намерено за прекомерно. В жалбата се излагат подробни доводи в насока неоснователност на отказа за предоставяне на копие от исканите документи. С позоваване на конкретни разпоредби от Регламент 2016/679 на Европейския парламент и на Съвета, цитирана съдебна практика на ВАС и СЕС, се обосновава правото за получаването им от субекта на данни.

Иска от съда да отмени атакувания отказ като незаконосъобразен и да се задължи „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД да предостави копия от всички носители на лични данни, въз основа на които обработва личните данни на К. Г. П. – договори, стандартни европейски формуляри, погасителни планове и всички други документи, подписани от жалбоподателката във връзка отпускане на заем в периода от 01.12.2019г. до 06.01.2025г. Претендират се разноските по делото.

Ответникът по жалбата – „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, в качеството на администратор на лични данни, в представено по делото становище, чрез пълномощника си юрк. В. В., оспорва жалбата и излага доводи за неоснователност. Претендира присъждане на разноски за юрисконсулт.

Административен съд – Стара Загора, след като взе предвид събраните по делото доказателства и съобрази закона, приема за установено от фактическа страна следното:

На 06.01.2025 г. К. Г. П. като субект, чиито лични данни са обработвани, чрез пълномощника си адв. М. М. – АК Стара Загора, е изпратила до „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД в качеството на администратор на лични данни, искане, основано на чл.15 и чл.20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, за предоставяне на личните данни на жалбоподателката, обработвани от ответника, както и копие от носителите на лични данни.

На 04.02.2025 г. от ответника е изпратен по електронен път отговор до пълномощника на жалбоподателката, с приложена в табличен вид справка за обема на обработваните лични данни на К. П.. Уточнено е, данните в графа „Обработвани данни“ са на основание договор за потребителски кредит от 30.12.2024 г., а тези в графа „Архивирани данни“ – въз основа на сключен договор за потребителски кредит от 04.10.2024 г., по който П. няма задължения към дружеството-ответник. Във връзка с искането за предоставяне на носителите на лични данни – договори, стандартни европейски формуляри и др., длъжностното лице по защита на данните при ответното дружество се позовава на предоставяне на такива на 04.10.2024 г. в 12:57:30 ч., респ. 30.12.2024 г. в 12:11:56ч., и е отказано предоставянето им в отговор на направеното от П. на 06.01.2025 г. искане.

Жалбата срещу този отказ е подадена на 12.02.2025 г., тоест в законоустановения срок за обжалване.

Съгласно чл.39 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

От приложената по делото справка за кредитна задлъжнялост, издадена от БНБ – Централен кредитен регистър, по заявление вх. № БНБ-29874/26.02.2025 г., е безспорен фактът на съществуващи между жалбоподателката и ответното дружество облигационни отношения по повод сключен договор за потребителски кредит от 30.12.2024 г. с дата на издължаване 19.05.2025 г. Ответникът „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД има качеството на администратор на лични данни по смисъла на чл.4, т. 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679), респ. обработва лични данни.

Пред КЗЛД няма висящо или приключило административно производство с идентичен предмет и страни с настоящото съдебно производство, поради което не е налице процесуална пречка за сезиране на съда с процесния спор – арг. от чл.39, ал.4 от ЗЗЛД.

Следователно жалбата, като подадена от легитимирано лице с правен интерес и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, е процесуално допустима.

Разгледана по същество, жалбата е основателна.

Според определението в чл.4, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

Разпоредбата на чл.4, параграф 2 от Регламент 2016/679 на Европейския парламент и Съвета, дефинира като „обработване“ всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Съгласно чл.37б, ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл.15-22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

В чл.15, пар.1 от Регламент 2016/679 е предвидено правото на субекта на данните да получи от администратора потвърждение дали се обработват лични данни, свързани с него и ако това е така, да получи достъп до данните, а според чл.15, пар.3 от Регламент (ЕС) 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване.

В конкретния случай подаденото от жалбоподателката писмено искане до администратора на лични данни - „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, представлява заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл.37в от ЗЗЛД. Подадено е във връзка с упражняване на правата по чл.15 от Регламент (ЕС) 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, съобразно предписанието на чл.15, пар.3 от Регламент (ЕС) 2016/679.

След като разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни за достъп до последните и тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, то несъмнено на субекта на данни, данните под форма на копие следва да бъдат предоставени. В конкретния случай обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за потребителски кредит и продължава по повод сключен втори договор за потребителски кредит.

Горните изводи се потвърждават от съдържанието на разпоредбите на чл.12 от Регламент (ЕС) 2016/679. Според параграф 1 на чл.12 от Регламент (ЕС) 2016/679, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език... Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а с чл.12, параграф 2 от Регламент (ЕС) 2016/679 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15-22.“

В конкретния случай ответникът по делото не ангажира доказателства, че оспорващият притежава изисканите с молбата копия от носителите на лични данни, макар да се позовава на предоставянето им в по-ранен от поискването момент.

От друга страна, дори копие от поисканата информация във връзка сключените между жалбоподателката и дружеството договори за кредит да е на разположение на оспорващата, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент 2016/679 във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения.

Като е постановил процесния отказ, ответникът е лишил жалбоподателката и от „правото на защита на личните данни“, което е предоставено с чл.8, параграф 1 от Хартата на основните права на Европейския съюз. П. е поставена в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателката да се възползва и от правото по чл.8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните са обработвани добросъвестно, за точно определени цели и въз основа на съгласието й или по силата на друго предвидено от закона легитимно основание.

С Решение от 04.05.2023 г. по дело С-487/21 г. на Съда на ЕС, съобразявайки принципа на прозрачност и при тълкуване на разпоредбите на Регламент (ЕС) 2016/679 в обичайното им значение в общоупотребимия език и в съответствие с целия контекст и целите на правната уредба, от която са част, е постановено, че чл.15 пар. 3, изр. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета следва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

В горния смисъл ответникът като администратор на лични данни дължи при поискване предоставяне на копие от носителите на лични данни, въз основа на които обработва личните данни на жалбоподателката. Оспореният отказ за предоставянето им като противоречащ на принципа на прозрачност се явява незаконосъобразен. Същият следва да бъде отменен, а ответникът задължен да представи копия на посочените документи, съдържащи лични данни на жалбоподателката.

С оглед изхода на делото, основателно се явява искането на жалбоподателката за присъждане на разноски, а именно 10 лева – внесена държавна такса за разглеждане на делото. На жалбоподателката е оказана на основание чл.38, ал.1, т.2 от Закона за адвокатурата безплатна правна помощ от Еднолично адвокатско дружество М., представлявано от адв. М. М.. В полза на адвокатското дружество следва да се присъди адвокатско възнаграждение в размер на 1080.00 лв., представляващо предвиденото в чл.8, ал. 2, т.10 от Наредба № 1/2004 г. за възнаграждения за адвокатска работа, минимално възнаграждение за един адвокат – 900 лв., ведно с ДДС, предвид доказателствата за регистрация на едноличното адвокатско дружество по ЗДДС.

Така мотивиран и на основание чл.172, ал.2 от АПК и чл.173, ал.2 от АПК и чл.174 от АПК, съдът,

ОТМЕНЯ по жалба на К. Г. П. от [населено място], чрез Еднолично адвокатско дружество М., представлявано от адв. М. М. – АК Стара Загора, изричен отказ, обективиран в писмо от 04.02.2025 г. на администратор на лични данни "КЕШ ПОЙНТ БЪЛГАРИЯ" ООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П. – управител, да предостави на К. Г. П. всички носители на лични данни – договори, стандартни европейски формуляри и др. документи, чрез които непосредствено се обработват личните й данни от "КЕШ ПОЙНТ БЪЛГАРИЯ" ООД [населено място] за периода от 01.12.2019г. до 06.01.2025г.

ВРЪЩА делото като преписка на „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, ЕИК *********, за произнасяне по подаденото от К. Г. П. искане от 06.01.2025г. в частта му, по която е постановен процесния отказ за предоставяне на носителите на лични данни, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение.

ОПРЕДЕЛЯ, на основание чл. 174 от АПК, 14-дневен срок за произнасяне от влизане в сила на съдебното решение.

ОСЪЖДА „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П. – управител, да заплати на К. Г. П., [ЕГН], разноски по делото в размер на 10 (десет) лева.

ОСЪЖДА „КЕШ ПОЙНТ БЪЛГАРИЯ“ ООД, ЕИК *********, със седалище и адрес на управление [населено място], р-н Младост, [улица], ет.5, представлявано от Н. П. П. – управител, да заплати на Еднолично адвокатско дружество М., ЕИК *********, със съдебен адрес: [населено място], [улица], ет. 5, офис 42, представлявано от адв. М. В. М., сумата от 1080.00 (хиляда и осемдесет) лева, представляваща адвокатско възнаграждение за оказана на К. Г. П. безплатна адвокатска помощ и съдействие по адм. дело № 147/2025 г. по описа на Административен съд - Стара Загора, на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата, ведно с ДДС.

Решението подлежи на обжалване пред Върховния административен съд на Република България в 14-дневен срок от съобщаването му на страните.