Решение по адм. дело №452/2025 на Административен съд - Русе

Производството е по реда на чл. 145 и следващите от Административнопроцесуалния кодекс (АПК), във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на В. И. Я. от [населено място], обл. Русе, чрез процесуалния ѝ представител, против изричния отказ от 25.06.2025 г. на администратора „Микро Кредит“ ЕАД, със седалище в [населено място], да ѝ бъде предоставено по нейно искане, изпратено чрез електронна поща на 14.06.2025 г. на основание чл.15 от Регламент (ЕС) 2016/679, копие от всички носители на нейни лични данни (договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и др.), за периода от 14.06.2020 г. до 12.06.2025 г. като отговорът и документите бъдат изпратени на електронен адрес [електронна поща].

В жалбата се твърди, че поисканите по този ред копия от документи са ѝ необходими, за да извърши проверка дали личните ѝ данни се обработват законосъобразно в хипотезата на чл.6, § 1, б.“б“ от Регламент (ЕС) 2016/679 и дали договорите и другите документи въобще са подписани от нея. Счита, че отказът тази информация и копия от документи да ѝ бъдат предоставени нарушава нейните права по чл.15 § 1 и § 3 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) като субект на данните. Моли съда да постанови решение, с което да отмени този отказ като изпрати преписката по депозираното от нея искане на администратора със задължителни указания по тълкуването и прилагането на закона бъде определен 7 – дневен срок за предоставяне на информацията и на копията от документи. В молба вх. №4381/15.10.2025 г. по описа на АС – Русе, претендира направените пред инстанцията съдебно-деловодни разноски, както и присъждане на адвокатско възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Ответникът по жалбата – „Микро Кредит“ ЕАД, чрез процесуалния си представител, е депозирал писмен отговор, в който изразява становище за неоснователност на жалбата. Сочи, че дружество е предоставило на жалбоподателката пълна информация относно личните ѝ данни, които към момента на депозиране на процесното искане са били в процес на обработване, като ѝ е предоставило и копие на договора, предмет на обработка. По отношение към договорите, които към момента на отправяне на процесното искане, не са били в процес на обработване по смисъла на чл.4, §2 от Регламента, сочи че няма как да предостави информация за данни, които не обработва. Моли съда да постанови решение, с което да отхвърли жалбата. Прави възражение за прекомерност на претендираното от другата страна адвокатско възнаграждение.

Съдът, като обсъди събраните по делото доказателства, съобрази доводите на страните и извърши служебна проверка на законосъобразността на оспорения административен акт, приема за установено следното:

Текстът на чл. 39, ал. 1 от ЗЗЛД сочи, че при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В случая е приложим 14-дневният срок за обжалване по чл.149, ал.1 от АПК. Електронното съобщение, обективиращо оспорения отказ, е получено на електронната поща на представителя на жалбоподателката на 25.06.2025 г., а жалбата срещу него е подадена чрез куриера „Еконт Експрес“ АД на 01.07.2025 г., видно от товарителница № 5300684230683 /л. 9 от делото/.

От изисканото на основание чл.39, ал.4, изр.второ от ЗЗЛД удостоверение с изх.№ ППН-01-1128#1/18.07.2025 г. на КЗЛД се установява, че липсва висящо или приключило пред КЗЛД производство, инициирано от жалбоподателката срещу „Микро Кредит“ ЕАД, наличието на каквото би съставлявало абсолютна отрицателна процесуална предпоставка за упражняването на правото на жалба до съда.

Поради това следва да се приеме, че жалбата е подадена от процесуално легитимирана страна - адресата на акта, който е неблагоприятно засегнат от него, в преклузивния срок, при отсъствие на висящо или приключило производство пред КЗЛД и при наличие на правен интерес, поради което е допустима. Разгледана по същество, тя се явява основателна.

Ответникът в производството е дружеството - финансова институция, вписана в регистъра на БНБ за финансовите институции по чл. 3, ал. 1 от Закона за кредитните институции, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Съдът приема за безспорно обстоятелството, че между страните са налице облигационни отношения, възникнали по силата на сключен договор за кредит, наличието на който факт не е спорен по делото. Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.)

Компетентен да издава актове във връзка с обработването на личните данни е администраторът. Според легалната дефиниция по § 1, т.2 от ДР на ЗЗЛД "администратор", с изключение на администратора по глава осма, е понятието по чл. 4, т.7 от Регламент (ЕС) 2016/679. От своя страна последната разпоредба гласи, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Видно от изисканата справка за кредитна задлъжнялост от Централния кредитен регистър към БНБ, в периода от 30.09.2020 г. до 30.06.2025 г. има данни за сключен един договор за кредит от жалбоподателката с кредитора „Микро Кредит“ ЕАД. Според чл.17, ал.2 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър институциите по чл. 4, ал. 1 (между които са и лицата по чл.3, ал.1, т.3 от ЗКИ, които отпускат кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства) носят отговорност за верността, пълнотата и своевременното подаване на информацията по тази наредба, както и за спазване изискванията за защита на личните данни. Информацията в Централния кредитен регистър за сключените между жалбоподателката и ответника по жалбата договори е подадена именно от последния, който обработва личните данни на жалбоподателката, като кредитополучател, за целите на изпълнението на сключените договори за потребителски кредит. Следователно „Микро Кредит“ ЕАД безспорно има качеството на администратор на лични данни по отношение на жалбоподателката и в този смисъл това дружество разполага с компетентност да постанови оспорения отказ.

Според чл.12, § 1, изр. второ от Регламент (ЕС) 2016/679 информацията по чл.15 от същия се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, а според § 3, изр. последно на същия член когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

В случая с искането си жалбоподателката е пожелала именно предоставянето на информацията в писмен вид с електронни средства като тя бъде изпратена на електронната поща на нейния представител: [електронна поща]. Оспореният отказ е във формата на съобщение, подписано с [жк], изпратено на електронна поща, т.е. същият е под формата на електронен документ по смисъла на чл.3, т.35 от Регламент (ЕС) № 910/2014 и чл.3, ал.1 от ЗЕДЕУУ като според ал.2 на последната разпоредба и доколкото документът съдържа електронно изявление, се смята спазена и изискуемата писмена форма.

На 14.06.2025 г. жалбоподателката е подала искане до „Микро Кредит“ ЕАД АД на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството ѝ на субект, на когото се обработват лични данни, да ѝ бъде предоставена информация относно това дали личните данни на жалбоподателката са обработвани от дружеството, целите за обработване, категориите лични данни, както и копие на личните данни, които били в процес на обработване за периода от 14.06.2020 г. до 12.06.2025 г. Поискано е всички носители на лични данни /договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и др./ да ѝ бъдат предоставени.

На 25.06.2025 г. до заявителя било изпратено уведомление от „Микро Кредит“ ЕАД, в което е посочено, че дружеството в качеството си на администратор на лични данни, обработва данни, отнасящи се до имената, единния граждански номер, телефонния номер и адрес на кандидатствалото за отпускане на заем лице, като същото на законово основание във вр. със задълженията му по Закона за мерките срещу изпиране на пари е задължено да събира описаната по-горе информация. Посочено е още, че дружеството извършва проверка в публични регистри, включително, но не само: МВР, НОИ, ЦКР, ГРАО и пр., като същевременно изисква и официален документ за самоличност от лицето. Сочи се, че към момента „Микро Кредит“ ЕАД не обработва каквито и да било лични данни на лицето, тъй като към момента то няма активни договори сключени с дружеството. Посочва се, че при проверка в базата данни на дружеството се открива един договор за заем в посочения период - № 8062-00204676/14.05.2024г., сключен между „Микро Кредит“ ЕАД и В. Я., който е изплатен и дружеството не борави с лични данни по него, като този договор бил подаден към ЦКР, като „изплатен“ със справката за месец януари 2025 г. изискваща се от регистър ЦКР - БНБ.

При така установеното от фактическа страна съдът формира следните правни изводи:

Жалбоподателката е отправила искане до „Микро Кредит“ ЕАД, с предмет право на достъп до обработваните лични данни във връзка със сключен между тези страни договор за кредит, като освен информацията за обработваните лични данни в искането е било заявено и изрично желание на лицето за получаване на копия от сключените договори за кредит.

С оглед дейността на „Микро Кредит“ ЕАД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Безспорно е също, че между жалбоподателката и „Микро Кредит“ ЕАД са съществували облигационни отношения, произтичащи от сключен между страните договор за кредит, във връзка с които тя се явява субект, чийто лични данни са обработвани от дружеството-ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в § 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Достъпът до обработваните лични данни, съгласно чл. 15, § 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В конкретния случай, отправеното от жалбоподателката искане до администратора на лични данни - „Микро Кредит“ ЕАД, несъмнено имат характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в от ЗЗЛД. То е подадено във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл. 15, параграф 3 от Регламент 2016/679.

Действително копието на лични данни не би следвало да се отъждествява с копие от документи, в каквато насока е било и отправеното от жалбоподателката искане до длъжностно лице по защита на личните данни на „Микро Кредит“ ЕАД, но следва да се отчете, че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва на конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит.

В подкрепа на горното са разпоредбите на чл. 12 от Регламент 2016/679. Според параграф 1 на чл. 12 от Регламент 2016/679, "администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства", а с чл. 12, параграф 2 от Регламент 2016/679 е вменено задължение на администратора на лични данни да "съдейства за упражняването на правата на субекта на данните по членове 15-22. "

В конкретния случай ответникът не е ангажирал доказателства, които да оборват твърдението, че оспорващата не притежава поисканата с молбата информация, свързана с договора за кредит. По отношение на обстоятелството че исканите копия от документи са били предоставени на жалбоподателката, има само твърдения, но не и ангажирани от ответника по жалбата доказателства.

Администраторът е бил длъжен да предостави не само „копие на личните данни“, но и документите, които обективират самите данни. Копието на лични данни не следва да се отъждествява с копието от документите, обективиращи процесния договор за потребителски кредит. Съгласно приетото в практиката на СЕС (вж. реш. по дело C-487/21), правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права.

Не са налице и предпоставките за отказ от предоставянето им – конкретно изброените хипотези в чл. 37а, ал. 1 от ЗЗЛД, съгласно която администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от ОРЗД, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове.

По изложените съображения оспореният отказ се явява незаконосъобразен – в нарушение на правото по чл.15, § 1 и § 3 от Регламент (ЕС) 2016/679 на достъп на жалбоподателката до обработваните нейни лични данни и следва да бъде отменен като преписката, на основание чл.173, ал.2 от АПК, следва да бъде изпратена на администратора на лични данни „Изи Асет Мениджмънт“ АД за произнасяне по подаденото на 14.06.2025 г. заявление от жалбоподателката при спазване на дадените в настоящия съдебен акт задължителни указания по тълкуването и прилагането на закона (в този смисъл вж. решение № 7173 от 26.06.2025 г. на ВАС по адм. д. № 2067/2025 г., V о., решение № 7180 от 26.06.2025 г. на ВАС по адм. д. № 10796/2024 г., V о., решение № 1159 от 11.02.2025 г. на ВАС по адм. д. № 9474/2024 г., V о., решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.).

На администратора, на основание чл.174 от АПК, следва да бъде определен и срок за предоставяне на копията от исканите документи – договори, стандартни европейски формуляри и др., съгласно чл.15, § 3 от същия регламент, които да бъдат изпратени в електронна форма на посочения в искането електронен адрес: [електронна поща]. При определяне на срока за това съдът изходи от срока за произнасяне, посочен в чл.12, § 4 от регламента, поради което определя едномесечен срок за предоставяне на достъп до личните данни и предоставяне на копие от исканите документи, считано от датата на влизане на решението в сила.

С оглед изхода на делото и на основание чл.143, ал.1 от АПК в полза на жалбоподателката следва да бъдат присъдени направените деловодни разноски в размер на 10 лева – заплатена държавна такса.

Видно от чл.2, ал.1 на представения препис от договор за правна защита и съдействие от 02.10.2025 г. (л.35 от делото), еднолично адвокатско дружество „М.“, със седалище в [населено място], е предоставило безплатна адвокатска помощ на жалбоподателката, в качеството ѝ на материално затруднено лице, т.е. на основание чл.38, ал.1, т.2 от ЗА. Според представеното извлечение от портала за електронни услуги на НАП, еднолично адвокатско дружество „М.“ е регистрирано по ЗДДС. По тези съображения съдът намира, че възнаграждението за безплатно предоставената от едноличното адвокатско дружество помощ следва да бъде присъдено с включен ДДС. В този смисъл Решение С-744/2023 г. от 23.10.2025 г. на СЕС.

При определяне на размера на възнаграждението съдът съобразява, че Наредба № 1 от 9.07.2004 г. за възнаграждения за адвокатска работа след измененията с ДВ бр. 14 от 18.02.2025 г. занапред не установява размери на минимални адвокатски възнаграждения, а само препоръчителни такива, както и стандарти за определяне на правната и фактическа сложност на делото. Според § 1а, ал.2, т.2 от ДР на Наредба № 1 от 9.07.2004 г. при определяне размера на възнаграждението за адвокатска работа за преценката за "фактическа и правна сложност" на случая се вземат предвид: при адвокатска работа, свързана с процесуално представителство – за подготовката на делото в досъдебна фаза се прилагат критериите по т. 1, а за съдебната фаза се прилагат съответно коефициенти за вида дело, извършените процесуални действия и развитието на производството, предвидени в Правилата за оценка натовареността на съдиите (ПОНС), приети от Висшия съдебен съвет, включително коригиращите коефициенти за увеличаване на фактическата и правна сложност на делото. Видно от Приложение № 1 към ПОНС, за административните дела по ЗЗЛД със статистически шифър 1020, каквото е и настоящото дело, е предвиден коефициент на тежест от 1,5, т.е. според този коефициент делата от посочената група са с правна и фактическа сложност малко над средната. В случая обаче делото е приключило в едно съдебно заседание, в което не са събирани допълнителни доказателства и процесуалният представител на жалбоподателката не се е явявал. Освен това на съдът е служебно известно, че същият представлява В. И. Я. по множество еднотипни дела срещу различни администратори на лични данни. При отчитане на тези обстоятелства съдът определя, на основание чл.38, ал.2 от ЗА, адвокатското възнаграждение в размер на 300 лева без ДДС или 360 лева с включен ДДС.

По изложените съображения и на основание чл. 172, ал. 2, предложение второ от АПК, съдът

РЕШИ:

ОТМЕНЯ по жалба на В. И. Я., с [ЕГН], от [населено място], общ. Бяла, обл. Русе, [улица], изричния отказ от 25.06.2025 г. на „Микро Кредит“ ЕАД, с [ЕИК], със седалище и адрес на управление [населено място], [улица], ет.3, в качеството му на администратор на лични данни, да ѝ бъдат предоставени на основание чл.15 от Регламент (ЕС) 2016/679 по нейно искане, изпратено чрез електронна поща на 14.06.2025 г., копие от всички носители на нейни лични данни (договори, стандартни европейски формуляри, и др.), за периода от 14.06.2020 г. до 12.06.2025 г.

ИЗПРАЩА преписката на администратора на лични данни „Микро Кредит“ ЕАД, с [ЕИК], със седалище и адрес на управление в [населено място], [улица], ет. 3, за произнасяне по подаденото от В. И. Я., с [ЕГН], чрез еднолично адвокатско дружество „М.“, с ЕИК в регистър БУЛСТАТ: *********, искане от 14.06.2025 г., при спазване на дадените в мотивите на настоящото решение задължителни указания по тълкуването и прилагането на закона.

ОПРЕДЕЛЯ на „Микро Кредит“ ЕАД, с [ЕИК], на основание чл. 174 от АПК едномесечен срок за произнасяне.

ОСЪЖДА „Микро Кредит“ ЕАД, с [ЕИК], със седалище и адрес на управление в [населено място], [улица], ет. 3, да заплати на В. И. Я., с [ЕГН], от [населено място], общ. Бяла, обл. Русе, [улица], сумата от 10 лева – деловодни разноски.

ОСЪЖДА „Микро Кредит“ ЕАД, с [ЕИК], със седалище и адрес на управление в [населено място], [улица], ет. 3, да заплати на еднолично адвокатско дружество „М.“ с ЕИК в регистър БУЛСТАТ: *********, със седалище и адрес на управление в [населено място], [улица], ет. 5, офис 42, сумата от 360 лева с ДДС – възнаграждение за безплатно предоставената на жалбоподателката правна помощ.

Решението подлежи на касационно обжалване пред Върховния административен съд в 14-дневен срок от съобщаването му на страните.