Р
Е Ш Е
Н И Е
№ 487 08.12.2022г. град Стара Загора
В И
М Е Т
О Н А
Н А Р
О Д А
Старозагорският административен съд, ІI
състав, в публично съдебно заседание на девети ноември през две хиляди двадесет
и втора година, в състав:
СЪДИЯ:
ГАЛИНА ДИНКОВА
при
секретар Ива Атанасова
и
с участието на прокурора
като
разгледа докладваното от съдия Г. ДИНКОВА административно дело № 460 по описа
за 2022г., за да се произнесе съобрази следното:
Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс
/АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.
Образувано е по жалба от П.К.П. ***,
подадена чрез пълномощника му адв. М.М., срещу мълчалив отказ на „Микро Кредит“
АД, в качеството му на администратор на лични данни, да предостави на
жалбоподателя информация относно обработвани лични данни и копия на всички
сключени между П.П. и „Микро Кредит“АД договори за кредит в периода
27.05.2017г. – 27.05.2022г.
В
жалбата се твърди, че на 27.05.2022г. П.К.П., чрез пълномощника си – адв.М., е
изпратил чрез електронна поща искане до „Микро Кредит“АД, на основание чл.15 и
чл. 20 от Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета, да му
бъдат предоставени всички договори за кредит, сключени между него, като
кредитополучател и дружеството, като кредитодател, тъй като тези договори били
носители на лични данни на Пл.П., обработвани от „Микро Кредит“АД на основание
възникналите облигационни правоотношения. Сочи се, че до 07.06.2022г.
жалбоподателят не е получил никакъв отговор по направеното искане, поради което
за него е налице правен интерес да подаде жалба до съда. Развиват се
съображения, че „Микро Кредит“ АД е администратор на лични данни и задължено,
по смисъла на чл. 12 от Регламента, да предприема необходимите мерки за
предоставяне на всякаква информация, която се отнася до обработването, на
субекта на данните, в кратка, прозрачна, разбираема и лесно достъпна форма, на
ясен и прост език. На основание чл. 15 от Регламента жалбоподателят имал право
да получи от администратора потвърждение дали се обработват лични данни,
свързани с него, и ако това е така, да получи достъп до данните и информацията
за целите на обработването им, съответните категории лични данни и получателите
или категориите получатели, пред които са, или ще бъдат разкрити личните данни,
както и да получи копие от личните данни, които са в процес на обработване. А
съобразно разпоредбата на чл.20 от Регламента субектът на данните имал право да
получи личните данни, които го засягат и които той е предоставил на
администратор, в структуриран, широко използван и пригоден за машинно четене
формат. Поддържа, че без да му бъдат предоставени носителите на лични данни,
заедно със систематизирана информация относно това как се използват данните му,
т.е. дали се обработват единствено във връзка с искането му за кредит, се
препятствала възможността да се убеди, че тяхната обработка е законосъобразна. Предвид изложеното се иска от съда да отмени обжалвания мълчалив отказ и
задължи "Микро Кредит“ АД в едноседмичен срок да предостави на П.П. копие
от всички документи, съдържащи неговите лични данни.
Ответникът по жалбата – "Микро
Кредит“ АД, чрез пълномощника си по делото – адв. М., оспорва жалбата като
недопустима и неоснователна. Възражението за недопустимост на съдебното
оспорване се основава на твърдение, че съгласно чл.38 от ЗЗЛД единствено
Комисията за защита на личните данни е компетентна да разглежда спорове и
нарушения във връзка със ЗЗЛД. Отделно от това сочи, че в случая най-вероятно
имало постановен изричен отказ, а не мълчалив, но не може да представи
доказателства за това. Твърди се, че искането за предоставяне на лични данни е подадено от
пълномощник, който обаче не бил изрично упълномощен от заявителя П. да получава
негови лични данни, както и не било спазено и изискуемото съгласно чл.37в от
ЗЗЛД съдържание на заявлението, тъй като липсвало отразяване на какъв носител
да бъдат предоставени данните. Поддържа, че законосъобразно е било отказано
предоставяне на исканите копия на договори за кредит, тъй като съдържащата се в
тях информация представлявала търговска тайна и съгласно чл.55, ал.2, т.3 от
ЗЗЛД не се следвал достъп. По тези съображения се иска жалбата да бъде оставена
без уважение.
Въз основа на събраните по делото
доказателства съдът намира за установено следното от фактическа страна:
На 27.05.2022г. жалбоподателят П.К.П.,
чрез адвокат М.М., е подал по електронен път до „Микро Кредит“ АД искане, подписано с електронен подпис, с
което на основание чл.15 и чл.20 от Регламент (ЕС) 2016/679 на
Европейския парламент и на Съвета от 27 април 2016 година
относно защитата на физическите лица във връзка с обработването на лични данни
и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО
(Общ регламент относно защитата на данните)
(текст от значение за ЕИП)(консолидирана версия) /ОРЗД/, е поискал да му бъде
предоставено копие от всички договори за кредит, които са сключени между П.П.,
в качеството на кредитополучател и „Микро Кредит“, в качеството на
кредитодател, в периода 27.05.2017г. – 27.05.2022г. В искането е посочено, че
въпросните документи са носители на личните данни на заявителя и тези данни се
обработват на основание сключените облигационни правоотношения. Изрично се
съдържа и изявление исканата информация да бъде предоставена по електронен път
на имейл адрес: *******@******.**., а
ако бъде преценено, че такава не може да бъде предоставена, се иска на
основание чл.11, ал.1, т.12 от ЗПК да бъде предоставена разбивка на заплатеното
по всички договори за потребителски кредит.
Въпреки твърдението на процесуалния
представител на ответника, че по така подаденото искане е бил постановен
изричен отказ, данни за такъв не са налични по делото.
От жалбоподателя е представен
договор за заем № 9012-00052052/ 26.02.2021г., от който се установява, че между
страните по делото съществува облигационно отношение, което обстоятелство не се
оспорва от ответника.
Във връзка със служебно изискана от съда
информация, по делото е постъпило писмо вх.№ 5134/ 02.09.2022г. на Председателя
на КЗЛД, в което е удостоверено, че към 30.08.2022г. пред Комисията за защита
на личните данни не е налице висящо или приключило административно
производство, инициирано от П.К.П. срещу „Микро Кредит“ АД.
Съдът, като взе предвид направените в
жалбата оплаквания, доводите и становищата на страните и относимата нормативна уредба, намира от правна страна следното:
По допустимостта на жалбата:
Законът за защита на личните данни урежда
на национално ниво два алтернативни начина за защита на субекта на данни при
нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на
личните данни /чл.38, ал.1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия
или актове на администратора на лични данни, която жалба се разглежда по реда
на АПК /чл.39, ал.1 от ЗЗЛД/. Видно от съдържанието на релевантните правни
норми в закона не е предвидено императивно изискване субектът на данни да се
обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по
административен ред, да се сезира съда. Единственото ограничително условие за
съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39
от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба
на същия засегнат субект, при идентичност на нарушението и нарушителя, съотв.
да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред
съд. Целта на разпоредбата е да не се допуска идентични спорове да се
разглеждат паралелно пред надзорния орган и пред съда.
По делото е установено, че пред КЗЛД няма
висящо или приключило административно производство, което да е идентично, от
гл.т. на предмет и страни, с настоящото съдебноадминистративно производство,
поради което не е налице визираната от закона процесуална пречка за сезиране на
съда с процесния спор.
В конкретния случай жалбоподателят е
отправил искане по чл.37б от ЗЗЛД до администратор на лични данни, какъвто
„Микро кредит“ АД не оспорва че е, а и същият безспорно попада в хипотезата на
определението по чл.4, т.7 от Регламент 2016/679, предвиждащ, че
„администратор“ означава физическо или юридическо лице, публичен орган, агенция
или друга структура, която сама или съвместно с други определя целите и
средствата за обработването на лични данни; когато целите и средствата за това
обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните
критерии за неговото определяне могат да бъдат установени в правото на Съюза
или в правото на държава членка.
На основание съществуващо между Пл.П. и
„Микро Кредит“ АД облигационно отношение, по силата на сключен договор за заем,
съдът приема за безспорно установено, че жалбоподателят е субект, чийто лични
данни са обработвани от дружеството-ответник, и респ. има право като субект на
това обработване на достъп до обработваните му от администратора лични данни,
съгласно чл.15 Регламент 2016/679.
Следователно
за ответника „Микро Кредит“ АД като администратор на лични данни е съществувало
нормативно установено задължение да се произнесе по подаденото от П.П.
заявление и съгласно разпоредбата на чл.12, § 3 от Регламент 2016/679 това е
следвало да стане без ненужно забавяне и във всички случаи в срок от един месец
от получаване на искането. По делото не са ангажирани доказателства в подкрепа
на твърдението на ответника, че е налице изрично произнасяне по постъпилото от П.
искане. Няма и данни срокът за произнасяне да е бил удължен на два месеца,
каквато възможност е допустима съгласно §3 на чл.12 от Регламент 2016/679, но
при въведено задължение да бъде информиран субектът на данните за удължаването
на срока. Въз основа на това се налага извод, че не произнасянето на ответника
в срок до 27.06.2022г. по подаденото от жалбоподателя искане по чл.37б от ЗЗЛД,
формира мълчалив отказ по см. на чл.58, ал.1 от АПК. Жалбата до съда е подадена
на 13.07.2022г., поради което е спазен установения в чл.149, ал.2 от АПК
едномесечен срок за съдебно оспорване.
Следователно оспорването, като направено от легитимирано лице с правен
интерес и против акт, подлежащ на съдебно обжалване и контрол за
законосъобразност, е процесуално допустимо.
Разгледана по същество, жалбата е основателна.
Според чл. 4, § 1 от Регламент 2016/679, "лични данни"
означава всяка информация, свързана с идентифицирано физическо лице или
физическо лице, което може да бъде идентифицирано ("субект на
данни"); физическо лице, което може да бъде идентифицирано, е лице, което
може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор
като име, идентификационен номер, данни за местонахождение, онлайн
идентификатор или по един или повече признаци, специфични за физическата,
физиологичната, генетичната, психическата, умствената, икономическата,
културната или социална идентичност на това физическо лице".
Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване"
означава всяка операция или съвкупност от операции, извършвана с лични данни
или набор от лични данни чрез автоматични или други средства като събиране,
записване, организиране, структуриране, съхранение, адаптиране или промяна,
извличане, консултиране, употреба, разкриване чрез предаване, разпространяване
или друг начин, по който данните стават достъпни, подреждане или комбиниране,
ограничаване, изтриване или унищожаване.
В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни
упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до
администратора на лични данни или по друг определен от администратора начин.
В чл. 15 от Регламент 2016/679, е предвидено "право на
достъп на субекта на данните", като в параграф 1 е прието, че
"субектът на данните има право да получи от администратора потвърждение
дали се обработват лични данни, свързани с него, и ако това е така, да получи
достъп до данните... ".
Според чл. 15, параграф 3 от Регламент 2016/679,
"администраторът предоставя копие от личните данни, които са в процес на
обработване. "
В конкретния случай отправеното от жалбоподателя искане от 27.05.2022г. до
администратора на лични данни - "Микро Кредит" АД, несъмнено има
характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържат реквизитите по чл. 37в от ЗЗЛД. Не може да бъде споделена тезата на
процесуалния представител на ответника за „недопустимост“ на заявлението,
поради подаването му от лице без надлежна представителна власт. Видно от
представените по делото доказателства, към подаденото по електронен път искане,
подписано от адвокат М.М. с валиден електронен подпис, е било приложено
пълномощно от 31.03.2022г. /в съответствие с изискването по чл.37в, ал.2 ЗЗЛД/,
с което П.К.П. изрично го е упълномощил да го представлява пред „Микро
Кредит“АД, като упражнява всички негови законоустановени права и в тази връзка
депозира, молби, заявления и искания /т.3 от пълномощното – стр.26 по делото/. Несъответни
на съдържанието на подаденото искане са и твърденията на ответника, че същото
не съответства на изискванията на чл.37в, ал.1 от ЗЗЛД. Освен това, ако ответникът /адресат на
заявлението/ е считал, че са налице недостатъци в подаденото заявление, то той
е следвало да процедира по реда на чл.12§ 2 от Регламент 2016/679 -
„Администраторът съдейства за упражняването на правата на субекта на данните по
членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме
действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира
субекта на данните“. В случая несъмнено е възможна идентификация на подателя на
заявлението, поради което дори и последното да не е отговаряло изцяло на
изискванията на чл.37в, ал.1, т.3 от ЗЗЛД, то администраторът е обвързан от
задължението си по чл.12, §2 ОРЗД. А съгласно чл.12, §4 от Регламент 2016/679,
ако администраторът не предприеме действия по искането на субекта на данни, го
уведомява без забавяне и най-късно в срок от един месец от получаване на искането
за причините да не предприеме действия и за възможността за подаване на жалба
до надзорен орган и търсене на защита по съдебен ред. Следователно, в
едномесечен срок от заявлението администраторът на лични данни е длъжен да се
произнесе по заявлението изрично /дори когато не предприема действия по него/,
което в случая не е сторено от дружеството – ответник.
Относно
наличието на материалноправно основание за отказ на ответника да предостави на
жалбоподателя достъп до заявените лични данни, съдът съобрази следното:
Подаденото
от Пл.П. искане от 27.05.2022г. е във връзка с упражняване на правата по чл. 15 от ОРЗД и както вече се посочи, съгласно §3 на чл.15
ОРЗД, администраторът е длъжен да
предостави копие от личните данни на субекта.
Действително копието на лични данни не би следвало да се отъждествява с
копие от документи, в каквато насока е било и отправеното от жалбоподателя до
ответника искане за предоставяне на копия от всички договори за кредит,
сключени в периода 27.05.2017г – 27.05.2022г. Необходимо е обаче да се отчете,
че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни,
които последният може да упражни, като тези права произлизат от фундаменталното
право на достъп до информация за личните данни, които съответния администратор
обработва на конкретен субект, като в случая обработването е започнало по повод
възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, и именно тези договори се
явяват носители на информация за обработваните лични данни по см. на чл.15, §1
ОРЗД.
Не се установява по делото личните данни на Пл.П. да не са в процес на
обработка към датата на иницииране на производството пред администратора на
лични данни „Микро Кредит“ АД.
Не са налице също така и ограничения по смисъла на чл.23, §1 и §2 от ОРЗД
по отношение обхвата на задълженията и правата, предвидени в чл12-22 ОРЗД на
администратора на лични данни /чл.37а ЗЗЛД/.
Това обосновава извод, че „Микро Кредит“ АД, в качеството си на
администратор на лични данни, е следвало да изпълни задължението си по чл.15 §3
ОРЗД като предостави на субекта на данните - П.К.П., поисканите лични данни,
съдържащи се в съставените договори за кредит през периода 22.05.2017г –
22.05.2022г., в заявената форма за получаване на информацията - по електронен път на посочен имейл адрес.
Относно възражението на пълномощника на ответника, че в случая е налице
превратно упражняване на права от страна на жалбоподателя, е необходимо да се
посочи, че дори екземпляр от договорите за кредит да са били предоставени на
Пл.П. към момента на тяхното сключване /каквито доказателства не са налични по
делото/, субектът на данните не може да бъде лишен от възможността да упражни
правата си по ЗЗЛД и Регламент 2016/679 във връзка със съществуващите между него и
администратора на лични данни взаимоотношения.
С отказа /в случая мълчалив/ на администратора на лични данни, на практика
физическото лице е било възпрепятствано да упражни правата, които му предоставя
чл. 14 от Регламент 2016/679, и по-конкретно това по параграф
1, буква "в" - правото да се получи информация за целите на
обработването, за което личните данни са предназначени, както и правното
основание за обработването. Така, субектът е поставен в невъзможност да разбере
дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и ОРЗД. В този смисъл ответникът е лишил жалбоподателя и от
"правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз,
като съответно е бил поставен и в невъзможност да придобие непосредствени
впечатления за спазване на задължението на администратора за осигуряване
защитата на тези данни, така че да се гарантира тяхното законосъобразно
обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства
жалбоподателя да се възползва и от правото му по чл. 8, параграф 2 Хартата на основните права на Европейския съюз,
да получи ясна представа за това дали данните му са обработвани добросъвестно,
за точно определени цели и въз основа на съгласието му или по силата на друго
предвидено от закона легитимно основание.
По изложените съображения жалбата се явява основателна, мълчаливият отказ
на „Микро Кредит“АД, в качеството му на администратор на лични данни, да
предостави достъп до лични данни по подаденото от П.П. заявление от
27.05.2022г. /наименовано „искане“/, следва да бъде отменен като
незаконосъобразен и преписката се върне на администратора на лични данни за
произнасяне по заявлението, при съобразяване с дадените
указания по тълкуването и прилагането на закона.
В настоящето производство от страна на пълномощника на жалбоподателя е
направено искане за заплащане на разноски, а именно 10 лева внесена държавна
такса за образуване на делото и минималното, предвидено за този вид дела по
Наредбата за адвокатските възнаграждения, възнаграждение за един адвокат, който
е представлявал жалбоподателя по делото, на основание чл. 38, ал. 1, т. 2 от ЗА. Искането е основателно. Разходът
от 10 лева, представляващ държавна такса за образуване на делото е доказан с
платежен документ на л. 12 от делото и следва да бъде присъден на жалбоподателя.
В самия приложен на л. 43 от делото договор за правни услуги е посочено, че е
предоставена безплатна правна помощ, предвид обстоятелството, че клиентът е
материално затруднено лице. Правото на адвоката да окаже безплатна адвокатска
помощ на лице по чл. 38, ал. 1, т. 2 от ЗА, е установено със закон. Когато в
съдебното производство насрещната страна дължи разноски, съгласно чл. 38, ал. 2 от ЗА адвокатът, оказал на страната безплатна
правна помощ, има право на адвокатско възнаграждение, в размер, определен от
съда, което възнаграждение се присъжда на адвоката. За да упражни последният
това свое право, е достатъчно да представи сключен със страната договор за
правна защита и съдействие, в който да посочи, че договореното възнаграждение е
безплатно на основание чл. 38, ал. 1, т. 2 от ЗА, като не се нуждае от доказване
обстоятелството, че клиентът е в значително материално затруднение. Посочените
предпоставки в случая са налице, поради което следва да бъде заплатено от
ответника адвокатското възнаграждение в размер на 1000 лева, определено по реда
на чл. 8, ал. 3 от Наредба № 1/09.07.2014 г. за минималните размери на
адвокатските възнаграждения.
Водим
от гореизложеното и на основание чл.172 ал.2, във връзка с чл.173 ал.2 и
чл.174 о АПК, съдът
Р
Е Ш И :
ОТМЕНЯ
по жалба от П.К.П. ***,
мълчалив отказ на „Микро Кредит“ АД, в качеството му на администратор на лични
данни, да предостави достъп до лични данни по подаденото от П.П. заявление от
27.05.2022г. /наименовано „искане“/, като незаконосъобразен. да се произнесе по
подаденото от П.П. искане от 27.05.2022г. за предоставяне на лични данни.
ВРЪЩА преписката на „Микро Кредит“ АД за произнасяне по подаденото от П.К.П. искане
от 27.05.2022г, при спазване на задължителните указания по тълкуването и
прилагането на закона, дадени с настоящото решение.
На
основание чл. 174 от АПК определя 14-дневен срок за
произнасяне от влизане в сила на съдебното решение.
ОСЪЖДА
„Микро Кредит“ АД, ЕИК *********, със седалище и адрес на управление гр.София,
р-н Младост, бул.„Цариградско шосе“ № 137, ет.3, представлявано от В.М.В.–
изпълнителен директор, да заплати на П.К.П., ЕГН **********,***, сумата от 10.00лв /десет лева/ -
направени разноски по делото.
ОСЪЖДА
„Микро Кредит“ АД, ЕИК *********, със седалище и адрес на управление гр.София,
р-н Младост, бул.„Цариградско шосе“ № 137, ет.3, представлявано от В.М.В.–
изпълнителен директор, да заплати на адвокат М.В.М. ***, сумата от 1000 /хиляда/ лева, представляваща
адвокатско възнаграждение за оказана на П.К.П. безплатна адвокатска помощ и
съдействие на основание чл.38, ал.1, т.2 от Закона за адвокатурата.
Решението подлежи на касационно обжалване
пред ВАС в 14-дневен срок от съобщаването му на страните.
СЪДИЯ: