Решение по адм. дело №1957/2025 на Административен съд - Пловдив

І. Производството и исканията на страните:

1. Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

2. Образувано е по жалба на П. Н. П., [ЕГН], адрес: [населено място], [улица], чрез адвокат С. П., срещу отказ на „Кеш Пойнт България“ ЕООД, обективиран в писмо изх. № 000289/29.08.2025 г., за предоставяне на копия на носителите на лични данни (договори, стандартни европейски формуляри, платежни нареждания, в които са отразени лични данни), включително и сключени договори за кредит в периода 24.07.2022 г. – 24.07.2025 г., формиран по молба от 24.07.2025 г.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че се възпрепятства правото на оспорващия по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Иска се присъждане на сторените в съдебното производство разноски.

3. Ответникът – „Кеш Пойнт България“ ЕООД, [ЕИК], с адрес: [населено място], [улица], представлявано от юрисконсулт В., поддържа становище за недопустимо и неоснователност на жалбата. Твърди, че с отговора от 29.08.2025 г. е удовлетворена изцяло молбата на жалбоподателя от 24.07.2025 г. Сочи се, че не е налице изричен отказ, поради което производството е лишено от предмет и жалбата се явява недопустима. По същество се поддържа, че „Кеш Пойнт България“ ЕООД е изпълнило изцяло и в срок законовите изисквания и е изпратило на жалбоподателя информацията, попадаща в обхвата на Регламента, свързана с обработването на нейните лични данни. Относно искането за предоставяне на копия от документите, съдържащи личните данни на жалбоподателя, се твърди че същото е извън приложното поле на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета и/или на ЗЗЛД, поради което няма отношение към упражняване на правото й на достъп. Твърди се, че правото за получаване на копия от документите, съдържащи лични данни не е абсолютно и следва да се прилага само ако представянето на копието е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В този смисъл се сочи практика на СЕС, обективирана в Решение на Съда от 4 май 2023г. по дело С-487/21. Претендира се присъждане на съдебни разноски.

ІІ. По допустимостта:

4. Не се формира спор по обстоятелството, че ответникът в производството е дружеството - финансова институция, вписана в регистъра на БНБ за финансовите институции по чл.3, ал.1 от Закона за кредитните институции с рег. № BGR00468, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.)

Съобразно установената съдебна практика (Решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена, само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице.

Доказателствата по делото сочат, че ответникът е бил сезиран на основание чл. 15 от ОРЗД с молба от жалбоподателя, по която жалбоподателят не е получил желаните копия от документи. Въпросът дали с писмо изх. № 000289/29.08.2025 г. ответникът е предоставил заявената от жалбоподателя информация, респ. дали е удовлетворил в цялост неговото искане, третира съществото на спора. Тоест в случая е налице изричен отказ, който е оспорен в предвидения по чл. 149, ал. 1 АПК срок за обжалване, поради което жалбата като подадена от лице с правен интерес, срещу административен акт, подлежащ на съдебен контрол, се явява процесуално допустима.

ІІІ. Фактите по делото:

5. С молба от 24.07.2025 г. жалбоподателя на основание чл. 15 от Регламент (ЕС) 2016/679 поискал от „Кеш Пойнт България“ ЕООД да му бъде предоставен достъп до всичките му лични данни в качеството на субект, на когото се обработват лични данни, включително копия на носителите на лични данни (договори, стандартни европейски формуляри, платежни нареждания, в които са отразени лични данни), включително и сключени договори за кредит в периода 24.07.2022 г. – 24.07.2025 г., формиран по молба от 24.07.2025 г. Алтернативно е поискано, тези договори да бъдат предоставени по реда на чл. 11, ал. 1, т. 12 от Закона за потребителския кредит. Посочен е физически адрес, на който да бъдат предоставени изисканите документи.

6. До заявителя било изпратено писмо изх. № 000289/29.08.2025 г. от „Кеш Пойнт България“ ЕООД, с което била представена информация за обработваните лични данни, съдържаща данни за: ЕГН; място на раждане; тел. номер; ел. поща; номер на банкова сметка; данни за валидност на документ за самоличност; постоянен и настоящ адрес; предоставени съгласия за приемане на маркетингови съобщения, обработка на лични данни, предоставяне на достъп до личните данни на трети лица и др. Копия от документи, съдържащи личните данни на жалбоподателя, не били представени. Посочено е, че на основание чл. 20 от Регламент (ЕС) 2016/679 не могат да бъдат представени: копия на договори, погасителен план, справка за разпределение на плащанията по пера и документи във формат, който не е пригоден за машинно четене. В заключение е отбелязано, че искането е несъвместимо с приложимото право на преносимост.

IV. От правна страна:

7. Между страните не се формира спор по обстоятелството, че жалбоподателят е отправил искане до „Кеш Пойнт България“ ЕООД, с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договори за кредит. Не се спори и по факта, че освен информацията за обработваните лични данни в искането е било заявено и изрично желание на лицето за получаване на копия от документите, съдържащи личните данни на жалбоподателя.

Не се спори и по обстоятелство, че с оглед дейността на „Кеш Пойнт България“ ЕООД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Безспорно е също, че между жалбоподателя и „Кеш Пойнт България“ ЕООД съществуват облигационни отношения, произтичащи от сключени между страните договори за кредит, във връзка с които жалбоподателят се явява субект, чийто лични данни са обработвани от дружеството-ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните ...“.

Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателя искане до „Кеш Пойнт България“ ЕООД има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД, чието съдържание отговаря на поставените от закона изисквания в т. 1 – т. 4 от същата правна норма, в частност като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено предоставянето на копия от документите, съдържащи обработваните лични данни.

От съдържанието на писмо изх. № 000289/29.08.2025 г. е видно, че за администратора на лични данни не е имало пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Съгласно чл. 12, § 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/687, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин.

Подаденото от жалбоподателя искане е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679, администраторът е длъжен да предостави копие от личните данни на субекта.

Действително копието на лични данни не винаги се отъждествява с копие от документа, в който се съдържат тези данни. Разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит, и именно тези документи се явяват носители на информация за обработваните лични данни по см. на чл. 15, § 1 от Регламент 2016/679.

В т.1 от диспозитива на решение на СЕС от 26.10.2023г. по дело С-307/22 е посочено, че член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че: администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент. Това тълкуване не се явява в разрез с постановките на соченото от ответника Решение на СЕС от 4 май 2023г. по дело С-487/21.

В случая, въпреки указаната от съда доказателствена тежест, ответникът не ангажира доказателства, че на жалбоподателя е било предоставяно първо копие от документите, съдържащи личните му данни (информация по см. на чл.4, §15 ОРЗД). След като жалбоподателят не е получил първоначално екземпляри от сключените договори в цялост, произнесеният отказ възпрепятства реализирането на правата му по чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 и се явява в противоречие с целта и смисъла на закона. Иначе казано, след като ответникът не е изпълнил задължението си за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, за него в качеството на администратор на тези данни седи задължение да предоставя повторно тези документи в цялост и съдържание, което кореспондира с упражняване на правата по чл. 15 от Регламент 2016/679.

В случая не са налице и ограничения по смисъла на чл. 23, § 1 и § 2 от Регламент 2016/679 по отношение обхвата на задълженията и правата, предвидени в чл. 12-22 Регламент 2016/679 на администратора на лични данни, който да обосновават издаването на пълен или частичен отказ по реда на чл. 37а ЗЗЛД.

Ответникът не доказва и хипотезата на чл. 12, § 5, б. „б“ от Регламент 2016/679, за явно неоснователен или прекомерен характер на искането.

При това положение се обосновава изводът, че за „Кеш Пойнт България“ ЕООД, в качеството му на администратор на лични данни, седи задължението по чл. 15, § 3 Регламент 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в съставените договори за кредит, сключени в периода в периода 24.07.2022 г. – 24.07.2025 г., респ. съдържащи се в други съставени в периода документи, в заявената форма за получаване на посочения от лицето адрес за кореспонденция.

Относно възражението на ответника, че в случая е налице превратно упражняване на права от страна на жалбоподателя, тъй като се цели добиване на информация за параметрите на кредита (размер на вноски, лихви, проценти и такси), следва да се посочи, че същият като страна по договорите има право на достъп и до тази информация, което право не се конкурира с правото му по ЗЗЛД и Регламент 2016/679 за достъп до съдържащите се в тях лични данни. В тази насока ответникът не ангажира доказателства да е удовлетворил алтернативното искане на заявителя, на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит да му се предоставят всички договори за потребителски кредит за искания период, ведно с разбивка на заплатеното по тях.

При това положение се обосновава изводът, че „Кеш Пойнт България“ ЕООД, в качеството му на администратор на лични данни, не е изпълнило законосъобразно, пълно и точно задължението си по чл. 15, § 3 Регламент 2016/679 да предостави на субекта на данните копие от поисканите лични данни, включително и копия от документите в които се съдържат. В този смисъл ответникът не е осигурил възможност на жалбоподателя да реализира и "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. С оспореното уведомление не е обезпечено правото на жалбоподателя по чл. 8, параграф 2 Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Мотивиран от горното при проверката по чл. 168 от АПК съдът намира, че оспореният административен акт е издаден в противоречие с материалноправните разпоредби и целта на закона, поради което подадената срещу него жалба се явява основателна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителни указания по тълкуването и прилагането на закона.

V. По съдебните разноски:

8. Предвид изхода на делото претенцията на жалбоподателя за присъждане на съдебни разноски се явява основателна. Същите се доказват в размер на десет лева, заплатени за държавна такса по производството. Основателно се явява и искането за присъждане на възнаграждение за адвокатска защита. В случая на основание чл. 38, ал. 2 от Закона за адвокатурата е заявено възнаграждение в размер на 1000 лева. Според чл. 38, ал. 2 от ЗАдв, в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати. Съгласно чл.8, ал.2, т. 10 от Наредба №1 от 9.07.2004 г. /ДВ, бр. 10 от 05.02.2016 г./ по дела по Закона за защита на потребителите и Закона за защита на личните данни минималното възнаграждение е в размер на 900 лв. Това е именно и размерът под – който съдът не може да определя възнаграждението по чл. 38, ал. 2 от ЗАдв. Доколкото законодателят в тази хипотеза не е посочил твърд или максимален размер на възнаграждението, а е предоставил въпроса за преценка на съда, при същата следва да бъде съобразена действителната правна и фактическа сложност на делото и извършените от защитника процесуални действия по предоставяне на правната помощ. В случая процесуалният представител на жалбоподателя освен подготовката на жалбата е представил и подробно становище по отговора на жалбата. Отнесени към фактическа сложност на делото тези обстоятелства обосновават определянето на възнаграждение над минималния размер. Претенцията на процесуалния представител на жалбоподателя е за присъждане на разноски за адвокатска защита в размер на 1000 лева. Съдът намира, че този размер не се явява прекомерен, поради което на основание чл. 38, ал. 2 от ЗАдв. съдът определя възнаграждението в размер 1000 лева, за указаната на жалбоподателя от адвокат С. Ж. П. безплатна правна помощ.

Ето защо, Съдът

Р Е Ш И:

ОТМЕНЯ отказ на „Кеш Пойнт България“ ЕООД, обективиран в писмо изх. № 000289/29.08.2025 г., за предоставяне на копия на носителите на лични данни (договори, стандартни европейски формуляри, платежни нареждания, в които са отразени лични данни), включително и сключени договори за кредит в периода 24.07.2022 г. – 24.07.2025 г., формиран по молба от 24.07.2025 г., подадена от П. Н. П..

ВРЪЩА преписката на „Кеш Пойнт България“ ЕООД, [ЕИК], с адрес: [населено място], [улица], за предприеме на действия по молбата от молба от 24.07.2025 г., подадена от П. Н. П., съобразно дадените от съда задължителни указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ едномесечен срок за изпълнение на съдебното решение, считан от влизането му в сила.

ОСЪЖДА „Кеш Пойнт България“ ЕООД, [ЕИК], с адрес: [населено място], [улица], да заплати на П. Н. П., [ЕГН], адрес: [населено място], [улица], сумата от 10 (десет) лева, представляваща съдебни разноски.

ОСЪЖДА „Кеш Пойнт България“ ЕООД, [ЕИК], с адрес: [населено място], [улица], да заплати на адвокат С. Ж. П., с личен № **********, адрес: [населено място], пл. „Съединение“ № 3, ет. 4, офис 411, сумата от 1000 (хиляда) лева, представляваща адвокатско възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Решението подлежи на обжалване с касационна жалба пред Върховния административен съд на Република България в четиринадесетдневен срок от съобщаването на страните за неговото постановяване.