Решение по дело №2150/2024 на Административен съд - Бургас

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), вр. чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на П. В. А., подадена чрез пълномощника адвокат Н. Р., против отказ, обективиран в писмени отговори от 04.11.2024 г. и 07.11.2024 г. на „София Комерс Кредит Груп“ АД, в качеството му на администратор на лични данни, по отправена молба от нея от 30.10.2024 г., уточнена с молба от 06.11.2024 г. за предоставяне на достъп до лични данни, чрез представянето на копие от договор за кредит от 28.06.2024 г., ведно с всички съпътстващи го документи.

В жалбата се твърди, че оспореният отказ е незаконосъобразен, като се излагат съображения за противоречие с материалноправни разпоредби от ЗЗЛД и от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните, ОРЗД). Жалбоподателката заявява, че на 30.10.2024 г. чрез пълномощника адвокат Н. Р. изпратила по електронната поща до „София Комерс Кредит Груп“ АД искане за предоставяне на копие от договор за кредит от 28.06.2024 г., по силата на който дружеството й е предоставило заем в размер на 3000 лева, ведно с всички съпътстващи го документи. Целта на искането била да направи проверка дали личните й данни се обработват законосъобразно, тъй като не разполага с механизъм за проверка на размера на задължението и кои точно данни е разрешила да се обработват. В получения отговор била информирана кои лични данни се обработват, но без да се приложат поисканите копия. Изпратила допълнителна молба до дружеството за предоставяне на копие от личните данни, които са в процес на обработка, включително и сключения договор за кредит със съпътстващите го документи. В отговор администраторът на лични данни заявил, че копие от поисканите документи няма да бъде предоставено, тъй като предоставянето на лични данни по смисъла на чл. 15 ОРЗД не е тъждествено с предоставяне на копие от документите/носителите, в които същите се съдържат. В жалбата се излагат подробни доводи в насока неоснователност на отказа за предоставяне на копие от исканите документи, като жалбоподателката се позовава на норми от ОРЗД, няколко решения на Съда на Европейския съюз (СЕС) и решение на Върховния административен съд (ВАС). Иска отмяна на атакувания отказ. Претендира присъждане на направените по делото разноски. Жалбоподателката не се явява и не се представлява пред съда. Чрез пълномощника си представя писмени становища в които подържа жалбата си и отправените с нея искания. Представя списък по чл. 80 от Гражданския процесуален кодекс ГПК).

Ответникът - „София Комерс Кредит Груп“ АД, чрез редовно упълномощения процесуален представител - адвокат Н. В.-П., в представен писмен отговор оспорва жалбата. Счита същата за недопустима, тъй като на жалбоподателката е предоставена всичката поискана от нея информация - копия на всичките нейни лични данни, които се обработват. Повечето поискани документи - общи условия, платежни и т.н., не съдържат лични данни и тя не може да ги претендира по този ред. Поради това счита, че А. няма правен интерес от настоящото производство. Намира жалбата и за неоснователна, тъй като е дружеството е предоставило копие (реплика) на конкретните лични данни, а съгласно посочената практика на СЕС терминът „копие“ се отнася не до документа, като такъв, а до личните данни, които той съдържа. Счита, че посочената практика на ВАС е неотносима. По отношение претенцията за присъждане на адвокатско възнаграждение по чл. 38, ал. 1, т. 2 от Закона за адвокатурата (ЗА), оспорва наличието на посоченото основание за освобождаване на жалбоподателката от заплащане на адвокатско възнаграждение и възразява срещу съществуването на предпоставките за предоставяне на правна помощ. Прави и възражение за прекомерност на размера на поисканото адвокатско възнаграждение. Претендира разноски, съгласно представен списък.

След като прецени твърденията на страните и събрания по делото доказателствен материал, Административен съд Бургас намира за установено от фактическа страна следното:

На 30.10.2024 г. П. А., чрез пълномощника си адвокат Н. Р., изпратила по електронната поща до „София Комерс Кредит Груп“ АД, в качеството му на администратор на лични данни, молба имаща характера на писмено заявление с правно основание чл. 37б ЗЗЛД. С нея поискала да й бъде предоставено копие от договора за кредит от 28.06.2024 г., по силата на който дружеството й е предоставило заем в размер на 3000 лева, ведно с всички съпътстващи го документи. Посочила е, че тези документи са носители на личните й данни, които се обработват на основание възникналите облигационни отношения, като прави искането си на основание ОРЗД.

На 04.11.2024 г. получила електронно писмо от „София Комерс Кредит Груп“ АД, в което се съдържал отговор, подписан от управителя на дружеството. В него след описание на приложими правни норми, е посочено, че се предоставят личните данни на А., съхранявани във връзка с договорните им отношения - нейните три имена, ЕГН, описание на личната карта, гражданство, постоянен и настоящ адреси, телефон, електронен адрес и месторабота.

Във връзка с този отговор, жалбоподателката подала на 06.11.2024 г. по електронната поща, втора молба до „София Комерс Кредит Груп“ АД чрез пълномощника си. В нея посочила, че отговорът не съдържа поисканата от нея информация и моли на основание чл. 15, § 3 ОРЗД да й бъдат предоставени копия от цитирания договор за кредит от 28.06.2024 г., ведно с всички съпътстващи го документи.

На 07.11.2024 г. тя получила нов отговор от дружеството, чрез управителя му, с който пак са посочените обработваните горепосочени нейни лични данни. Обърнато й е внимание, че макар действително обработката на тези лични данни да е по повод сключения договор за потребителски кредит, предоставянето на копие от лични данни по смисъла на чл. 15 ОРЗД, не е тъждествено с предоставяне на копие от документите/носителите, в които същите се съдържат. Изложена е теза която се поддържа и пред съда, че голяма част от поискани документи - общи условия, погасителни планове и т.н., не съдържат лични данни. Посочено е, че задължение за представяне на поисканите документи не се съдържа в ОРЗД или друг нормативен акт от вътрешното право и предоставения достъп съответства на предвиждането на чл. 20 ОРЗД.

Сезиращата съда жалба е подадена с обикновено писмо на 21.11.2024 г., съгласно поставения щемпел.

При така установената фактическа обстановка, съдът достигна до следните правни изводи:

Жалбата е процесуално допустима, съгласно установената безпротиворечива съдебна практика. (Вж. определение № 15364 от 10.12.2020 г. по адм. д. № 11137/2020 г. и определение № 10675 от 20.10.2021 г. на ВАС по адм. д. № 9915/2021 г., двете на ВАС, V о.) Тя се основава на чл. 39, ал. 1 ЗЗЛД, насочена е срещу акт, който подлежи на оспорване, тъй като атакуваните два отговора по естеството си представляват отказ за упражняване на право по подадено на 30.10.2024 г. заявление. Жалбата е подадена в законоустановения срок по чл. 149, ал. 1 АПК, респективно по чл. 140, ал. 1 АПК, от активно легитимирано лице - адресат на акта, който е засегнат неблагоприятно от него.

ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по ОРЗД: 1. Сезиране на надзорен орган - Комисията за защита на личните данни, съгласно чл. 38, ал. 1 ЗЗЛД и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК, съгласно чл. 39, ал. 1 ЗЗЛД.

Видно от съдържанието на релевантните правни норми в закона, не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съотв. да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда.

Съгласно представената справка (л. 64), пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гледна точка на предмет и страни, с настоящото съдебноадминистративно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Неоснователно е възражението на ответника, че жалбата е недопустима, доколкото било изпълнено задължението за предоставяне на личните данни на А., като дружеството не е представило част от поискани документи - общи условия, платежни и др., тъй като същите не съдържат лични данни, доколкото с атакувания отговор не е било удовлетворено искането й да бъдат предоставени копие от договор за кредит, ведно със съпътстващите го документи. Както се посочи, отказът да бъдат предоставени исканите данни е неблагоприятно за адресата на акта, а всички възражения на ответника, направени с твърдението му за липса на основание да изпълни задължението по чл. 15 ОРЗД, касаят преценката за основателността на жалбата, а не за нейната допустимост.

Разгледана по същество, жалбата е основателна.

Оспореният акт - отказ да се предостави право на достъп, е издаден от компетентен орган, в установената форма и при липсата на процесуални нарушения от категорията на съществените, поради което не са налице основания за прогласяване на неговата нищожност по смисъла на чл. 168, ал. 1 и ал. 2, вр чл. 146, т. 1 АПК, съответно отмяна - по смисъла на чл. 168, ал. 1, вр. чл. 146, т. 2 и т. 3 АПК.

Актът обаче, е издаден в противоречие с материалния закон и неговата цел.

Не е спорно между страните, че „София Комерс Кредит Груп“ АД, което в производството има качеството на администратор на лични данни по смисъла на чл. 4, § 7 ОРЗД и П. А. - субект, чиито лични данни са обработвани от дружеството по смисъла на чл. 4, т. 1) и т. 2) ОРЗД, са в облигационни отношения по силата на сключен между тях договор за кредит от 28.06.2024 г. Няма спор и че А. има право на достъп до обработваните от администратора нейни лични данни, съгласно чл. 15 ОРЗД. Спорът е дали тя има право да й бъде предоставено копие от договора за кредит и съпътстващите го документи, в които се съдържат данните й.

В разглеждания случай А., като субект на правата по чл. 15 ОРЗД, е депозирала по електронен път писмено заявление по чл. 37б ЗЗЛД до администратора на лични данни, с изискуемото съдържание съгласно чл. 37в ЗЗЛД.

Съгласно чл. 15, § 1 ОРЗД "Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. "

Съгласно чл. 15, § 3 ОРЗД администраторът предоставя копие от личните данни, които са в процес на обработване.

Съгласно чл. 12, § ОРЗД администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, като когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

Съгласно чл. 8, § 2 от Хартата на основните права на Европейския съюз всеки има право на достъп до събраните данни, отнасящи се до него.

В случая П. А. е отправила искането си по чл. 37б ЗЗЛД до „София Комерс Кредит Груп“ АД, в качеството му на администратор на лични данни, именно на основание чл. 15 ОРЗД, като администраторът е бил длъжен да предостави копие от обработваните от него лични данни на заявителя. Не може да бъде споделено възражението на ответника, че субектът на данни има единствено правото да получи копие от обработваните лични данни, като правото по чл. 15 ОРЗД не включва получаване на копия от документите в които те се съдържат.

Това е така, защото съгласно т. 21 от решение на СЕС от 4 май 2023 г. по Дело C-487/21: "доколкото в ОРЗД не е дадено определение на така използваното понятие "копие", следва да се отчете обичайното значение на това понятие, което, както отбелязва генералният адвокат в т. 30 от заключението си, обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение". Съгласно т. 23 от същото решение "употребата на израза "всяка информация" в определението на понятието "лични данни", залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че "засяга" съответното лице". Съгласно т. 45 "член 15, параграф 3, първо изречение от ОРЗД трябва да се тълкува в смисъл, че: правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица".

Действително копието на лични данни не би следвало да се отъждествява с копие от документи, в каквато насока е било и отправеното от жалбоподателката искане до „София Комерс Кредит Груп“ АД, но следва да се отчете, че разпоредбите ОРЗД предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни - сключен договор за кредит.

В подкрепа на горното са разпоредбите на чл. 12 ОРЗД, предвиждащи че "администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства", като е вменено задължение на администратора да "съдейства за упражняването на правата на субекта на данните по членове 15-22. "

В конкретния случай ответникът не опроверга доводите, изложени в жалбата в смисъл, че жалбоподателката не притежава изисканата с молбата информация във връзка с договор за кредит от 28.06.2024 г. и съпътстващи го документи, във връзка с личните й данни.

С оглед възникналите между А. и „София Комерс Кредит Груп“ АД взаимоотношения, с издаване на оспорения отказ тя е била лишена и от правата, които й предоставя чл. 14 ОРЗД и по-конкретно това по § 1, б. "в" - правото да се получи информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. Така, субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и ОРЗД.

Ето защо, като е постановил процесния отказ ответникът е лишил жалбоподателката и от "правото на защита на личните данни", което й се предоставя с чл. 8, § 1 от Хартата на основните права на Европейския съюз (ХОПЕС), като съответно е била поставена и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 ОРЗД. Оспореният отказ възпрепятства жалбоподателката да се възползва от правото й по чл. 8, § 2 ХОПЕС, да получи ясна представа за това дали данните й са обработвани добросъвестно, за точно определени цели и въз основа на съгласието й или по силата на друго предвидено от закона легитимно основание.

По изложените съображения, оспореният отказ за предоставяне на изисканата от П. А. информация за личните й данни във връзка с сключения договор за кредит от 28.06.2024 г. и съпътстващи го документи с ответника „София Комерс Кредит Груп“ АД се явява незаконосъобразен. Поради това, същият следва да бъде отменен, а ответникът задължен да представи копия на посочените документи, съдържащи лични данни на жалбоподателката П. А., в 14-дневен срок от влизане в сила на настоящия съдебен акт. (В аналогичен смисъл са решение № 14729 от 27.11.2020 г. по адм. д. № 9910/2020 г. и решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., двете на ВАС, V о.)

При този резултат на правния спор и във връзка с чл. 143, ал. 1 АПК, основателна е претенцията на жалбоподателката за разноски. Заплатената държавна такса от 10 лева, се доказва с платежен документ на л. 12 от делото и следва да бъде присъдена на жалбоподателката. В представения договор за правна защита и съдействие (л. 10 и 53) е посочено, че е предоставена безплатна правна помощ на основание чл. 38, ал. 1, т. 2 от ЗА. Правото на адвоката да окаже безплатна адвокатска помощ на материално затруднено лице, е установено по силата на закона. Когато в съдебното производство насрещната страна дължи разноски, съгласно чл. 38, ал. 2 А адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение в размер, определен от съда, което възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно адвокатът да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл. 38, ал. 1, т. 2 ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в материално затруднение. Посочените предпоставки в случая са налице, поради което следва да бъде заплатено от ответника адвокатското възнаграждение в размер на 900 лева, какъвто е минималният размер на възнаграждението по чл. 8, ал. 2, т. 10 от Наредба № 1 от 9.07.2004 г. за възнаграждения за адвокатска работа, (Загл. изм. – ДВ, бр. 14 от 2025 г.), за този род дела. Поисканата от адвокат Р. със списъка сума от 1000 лева, действително е прекомерна и в тази връзка основателно се явява възражението на ответника по чл. 78, ал. 5 ГПК.

Водим от горното и на основание чл. 172, ал. 2, предл. 2 АПК и чл. 174, вр. чл. 1, т. 4 АПК, Административен съд Бургас, VІІ-ми състав

РЕШИ:

ОТМЕНЯ отказа на „София Комерс Кредит Груп“ АД, обективиран в писмени отговори от 04.11.2024 г. и 07.11.2024 г., да предостави достъп на П. В. А. до личните й данни, чрез представянето на копие от договор за кредит от 28.06.2024 г., ведно с всички съпътстващи го документи.

ЗАДЪЛЖАВА „София Комерс Кредит Груп“ АД да предостави на П. В. А. достъп до личните й данни, чрез представянето на копие от договор за кредит от 28.06.2024 г., ведно с всички съпътстващи го документи, в 14-дневен срок от влизане в сила на съдебното решение.

ОСЪЖДА „София Комерс Кредит Груп“ АД, ЕИК *********, адрес: [населено място], р-н Изгрев, [жк], бул. В. К., бл. 58, офис № 6, да заплати на П. В. А., [ЕГН], адрес: [населено място], [улица], сумата от 10 ( десет) лева, като разноски за платената държавна такса.

ОСЪЖДА „София Комерс Кредит Груп“ АД, ЕИК *********, адрес: [населено място], р-н Изгрев, [жк], бул. В. К., бл. 58, офис № 6, да заплати на адвокат Н. В. Р. от БАК, личен № **********, адрес: [населено място], [улица], сумата от 900 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на П. В. А., [ЕГН], безплатна адвокатска помощ и съдействие на основание чл. 38, ал. 1, т. 2 от Закона за адвокатурата.

Решението може да се обжалва пред Върховния административен съд в 14-дневен срок от съобщаването му на страните.