Решение по адм. дело №1848/2025 на Административен съд - Пловдив

Делото е образувано по жалба на М. Т. К., [ЕГН], [населено място], Комплекс КТЗ 17, вх.Б, ет.4, ап.114, против отказ на „Агенция за събиране на вземания“ЕАД да предостави копия от всички документи, съдържащи нейни лични данни, които обработва дружеството в това число и договори за потребителски кредити с „Аксес Файнанс“ЕАД за придобити от тях нейни задължения чрез цесия.

Иска се отмяна на отказа като се излагат доводи, че незаконосъобразно не са предоставени копия от исканите документи, които съдържат лични данни на жалбоподателката.

Представя се и писмена защита от адв.П. с изложени подробни доводи по така заявената теза.

Претендират се разноски.

Ответникът „Агенция за събиране на вземания“ЕАД не изпраща представител. Депозирани са подробни писмени бележки, с които се оспорва жалбата. Претендира се юрисконсултско възнаграждение.

Съдът, като взе предвид събраните по делото доказателства (представената административна преписка) и идложените от страните доводи, намира за установено следното:

Жалбата е процесуално допустима, като подадена от лице, което счита, че не е изпълнено искането му по реда на чл. 15 и чл. 20 от Регламент 2016/679 за предоставяне на копие на документи, съдържащи лични данни, които са в процес на обработване. Поискано е да се предоставят данните, както и копие на всички носители на лични данни на К. като именно по повод на неудовлетворяването на това ѝ искане се формира и предмета на спора.

По делото не се спори, че е изпратен отговор от длъжностно лице по защита на личните данни при ответника, в който се потвърждава, че „Агенция за събиране на вземания“ЕАД обработва определен обем лични данни на жалбоподателя в качеството на клиент с неизплатено парично задължение към ответника във връзка с договори за цесия, по които той е придобил вземания, прехвърлени от „Аксес Файнанс“ЕАД и „Мъни лийз“ЕАД. Ведно с отговора е изпратено и приложение , в което се съдържат копие от обработваните лични данни. Съгласно чл. 15, пар. 3 от Регламент 2016/679 са предоставени копия на личните данни, които се обработват под формата на извлечение от съдържанието на съответните документи, в които тези данни фигурират.

Жалбоподателят остава недоволен от така изготвения отговор, който оспорва. Счита, че не е изпълнено задължението на обработващия да предостави носителите на данни, които са изрично поискани. Последното е и предмет на производството.

Не е спорно, че между жалбоподателя и „Агенция за събиране на вземания“ЕАД са възникнали облигационни отношения по силата на прехвърлени договори за парични заеми, като оспорващият е субект, чиито лични данни са обработвани от дружеството – ответник и в това си качество има право на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Ответникът попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679, съгласно която "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Предвид горното, за ответното дружество, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателя искане, като с оглед разпоредбата на чл. 12, § 3 от Регламент 2016/679, информация относно действията, предприети във връзка с искане по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Именно в този срок администратирът на лични данни се е произнесъл по искането, като не е предоставил копие от наличните договори, а извлечение от документите, съдържащо лични данни. Непредоставянето на копията на документите е и предмет на настоящото производство.

Съдът намира, че така формираният отказ е издаден от компетентнен орган - длъжностното лице по защита на личните данни при „Агенция за събиране на вземания“ЕАД.

В хода на проведеното производство не се твърди и не се установява да са допуснати нарушения на процесуалните правила.

Спорният по делото въпрос е дали при отправено искане на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 за предоставяне на информация относно обработването на лични данни, администраторът на лични данни дължи предоставяне и на самите носители на тези данни.

Според чл. 4, параграф 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, параграф 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Според § 1 на чл. 12 от Регламент 2016/679, "администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства", а с чл. 12, параграф 2 от Регламент 2016/679 е вменено задължение на администратора на лични данни да съдейства за упражняването на правата на субекта на данните по членове 15—22.

Според разпоредбата на чл. 15, § 1 от Регламент 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

Чл. 15, § 3 от Регламент (ЕС) 2016/679 предвижда, че администраторът предоставя копие от личните данни, които са в процес на обработване.

Тези разпоредби следва да се тълкуват и във връзка с чл. 8, § 2 от Хартата на основните права на Европейския съюз, според който всеки има право на достъп до събраните данни, отнасящи се до него.

В случая, жалбоподателят е отправил надлежно искане по чл. 37б от ЗЗЛД до ответника, в качеството му на администратор на лични данни. Искането е свързано с упражняване на права по чл. 15 от Регламент 2016/679 и по силата на чл. 15, § 3 от Регламент 2016/679, администраторът е длъжен да предостави копие от обработваните от него лични данни на заявителя.

Настоящият съдебен състав намира за неоснователен довода на ответника, че субектът на данни има единствено правото да получи копие от обработваните лични данни, каквото му е предоставено, като правото по чл. 15 от Регламент (ЕС) 2016/679 не включва получаването на копия от документи. В тази връзка следва да се има предвид, че според т. 21 от Решение от 04.05.2023 г. на СЕС по дело С-487/21, доколкото в ОРЗД не е дадено определение на така използваното понятие "копие", следва да се отчете обичайното значение на това понятие, което съгласно заключението на генералния адвокат (т. 30), обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработка или препращането към категории лични данни не би отговаряло на това определение. В т. 23 от същото решение на СЕС е посочено, че употребата на израза "всяка информация" в определението на понятието "лични данни", залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че засяга съответното лице. В решението на СЕС се сочи също, че чл. 15, § 3, изр. първо от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като в това отношение трябва да се вземат предвид правата и свободите на други лица.

В Решение от 22.06.2023 г. на СЕС по дело С-579/21, т. 45 е посочено, че широкото определение на понятието "лични данни" обхваща не само данните, събрани и съхранявани от администратора, но и всяка информация, резултат от обработване на лични данни, които засягат лице, което е идентифицирано или може да бъде идентифицирано. В точки 63- 66 от същото решение на СЕС се сочи следното: "Що се отнася по-конкретно до съобщаването на цялата тази информация чрез предоставянето на журналните файлове за разглежданите в главното производство операции по обработване, следва да се отбележи, че чл. 15, параграф 3, първо изречение от ОРЗД гласи, че администраторът "предоставя копие от личните данни, които са в процес на обработване". В това отношение Съдът вече е постановил, че така използваното понятие "копие" обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които cа в процес на обработване или препращането към категории лични данни не би отговаряло на това определение. От текста на член 15, параграф 3, първо изречение от този регламент следва също, че задължението за съобщаване се свързва с личните данни, които са предмет на разглежданото обработване. Копието, което администраторът е длъжен да предостави, трябва да съдържа всички лични данни, които са в процес на обработване, да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно да възпроизвежда изцяло и точно тези данни. За да се гарантира, че така предоставената информация е лесна за разбиране, както изисква чл. 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т. е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни. "

В горния смисъл е и Решение от 26.10.2023 г. на СЕС по дело С-307/22, FT v. DW, т. 73-76, в което се казва: "Накрая, що се отнася до целите, преследвани с член 15 от ОРЗД, той има за цел да укрепи и уточни правата на субектите на данни. Така предвиденото в тази разпоредба право на достъп трябва да позволи на субекта на данните да провери дали свързаните с него лични данни са точни и дали се обработват законосъобразно. Освен това, копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави съгласно чл. 15, параграф 3, първо изречение от ОРЗД, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно трябва да възпроизвежда изцяло и точно тези данни. По-специално, за да се гарантира, че предоставената от администратора информация е лесна за разбиране, както изисква чл. 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, които в частност съдържат личните данни в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. Ето защо, правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, които в частност съдържат посочените данни, ако представянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права. ".

В обобщение, според посочената практика на СЕС, субектът на данни има право на достъп, в т. ч. и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка, дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

Предвид изложеното, настоящият съдебен състав счита, че ответникът, в качеството му на администратор на лични данни, е бил длъжен да предостави на лицето всички поискани от него документи, личните данни по които се обработват, в това число договори за заем, цесия, писмена кореспонденция и друга документация, свързана с обработването на личните му данни, както и справка за всички извършени плащания по тези договори, включително подробна разбивка на сумите, датите и начина на плащане, за посочения период. Само предоставените от ответното дружество в приложение към отговора с отбелязани в него лични данни на лицето, безспорно не дава възможност за ефективно упражняване на правата по приложимия Регламент. Като е постановил процесния отказ ответникът е лишил жалбоподателя и от "правото на защита на личните данни", което му се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, параграф 2 Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Предвид изложеното съдът приема, че в случая и в изпълнение на принципите на прозрачност и отчетност, администраторът е бил длъжен, при наличие на отправеното изрично искане, да предостави на субекта и изисканите от него копия на документи, въз основан на които се обработват личните му данни, доколкото при неизпълнение на това задължение се ограничава възможността заявителят да узнае конкретните фактически и правни основания, обуславящи целите на обработка на личните му данни и по този начин да извърши проверка дали същите се обработват законосъобразно по смисъла на чл. 6 от Регламент (ЕС) 2016/679. Непредоставянето им води до пряко неизпълнение от страна на администратора на лични данни на задължението за отчетност, което препятства и възможността субекта на данните да осъществи ефективна проверка относно тяхното законосъобразното, добросъвестно и прозрачно обработване, каквото съмнение очевидно се е породило у жалбоподателя.

По тези съображения съдът приема, че оспорения отказ следва да бъде отменен и преписката изпратена на ответника за ново произнасяне при съобразяване указанията на съда, дадени в настоящото решение.

Основателна се явява и претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита. В случая на основание чл. 38, ал. 2 от Закона за адвокатурата е заявено възнаграждение в размер на 1000 лева. Според чл. 38, ал. 2 от ЗАдв, в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати.

Съгласно чл.8, ал.3 от Наредба №1 от 9.07.2004 г. /ДВ, бр. 10 от 05.02.2016 г./ за процесуално представителство, защита и съдействие по административни дела без определен материален интерес минималното възнаграждение е в размер [рег. номер]. Претенцията на процесуалния представител на жалбоподателя е за присъждане на разноски за адвокатска защита в посочения минимален размер. Съдът намира, че този размер не се явява прекомерен. На основание чл. 38, ал. 2 от ЗАдв. съдът определя възнаграждението в размер 1000 лева, за указаната на жалбоподателя от адвокат С. Ж. П. безплатна правна помощ.

Воден от горното и на основание чл. 172, ал. 2 АПК, съдът

Р ЕШ И:

ОТМЕНЯ ОТКАЗ, обективиран в писмо изх. № 25-00342-1 от 12.08.2025 г. на „Агенция за събиране на вземания“ЕАД за предоставяне на носителите на обработваните лични данни по заявлението на М. Т. К. с вх. № 25-00342-1/18.07.2025 г.

ВРЪЩА делото като преписка на ответника за ново произнасяне в тази част при спазване на указанията от настоящото решение.

ОПРЕДЕЛЯ едномесечен срок за изпълнение на съдебното решение, считан от влизането му в сила.

ОСЪЖДА „Агенция за събиране на вземания“ЕАД, [ЕИК], да заплати на М. Т. К., [ЕГН], [населено място], Комплекс КТЗ 17, вх.Б, ет.4, ап.114, сумата от 10 (десет) лева, представляваща съдебни разноски.

ОСЪЖДА „Агенция за събиране на вземания“ЕАД, [ЕИК], да заплати на адвокат С. Ж. П., вписан в Адвокатска колегия - [населено място], със служебен адрес в [населено място], пл. „Съединение“ № 3, ет. 4, офис 411, сумата от 1000 (хиляда) лева, представляваща възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Решението подлежи на оспорване в 14-дневен срок от връчването му на страните.