Решение по дело №133/2025 на Административен съд - Шумен

Производството е по реда на чл.145 и следващите от Административно процесуалния кодекс (АПК), вр. чл.39, ал.1 от Закона за защита на личните данни.

Образувано е по жалба на Б. Р. Х. от [населено място], депозирана чрез адвокат П. П. от Адвокатска колегия – [област], против Изричен отказ на „Сити кеш“ ООД, ЕИК *********, [населено място].

Оспорващият твърди, че на 07.02.2025г. изпратил на ответната страна заявление, с което на основание чл.15 и чл.20 от Регламент (ЕС) 679/2016г. на ЕП и на Съвета изискал от администратора копие на личните данни, които са в процес на обработване по смисъла на чл.15, §3 от Регламента, във връзка със сключени между страните договори за кредит. Жалбоподателят заявява, че на 10.03.2025г. на посочената в заявлението електронна поща получил отговор от дружеството, съдържащ общи постулати във връзка с обработката на лични данни от дружеството при сключване на договори за кредит, както и преповтаряне на информацията от Политиката за защита на личните данни на дружеството. Същевременно с отговора не се предоставя копие на личните данни, които се обработват от кредитора във връзка със сключените договори за потребителски кредит. Не се предоставят и данните за извършени плащания по договорите. По изложените в жалбата съображения се сочи, че изричният отказ е нищожен и незаконосъобразен, и се отправя искане същият да бъде отменен изцяло и преписката да се върне със задължителни указания за произнасяне по подаденото искане. Претендира се присъждане на разноски. Депозира писмена молба за даване ход на делото в негово отсъствие, към която прилага списък на разноските и писмени бележки, в които се поддържа становището за основателност на оспорването. В съдебно заседание жалбоподателят, редовно и своевременно призован, не се явява и не се представлява.

Ответната страна, „Сити кеш“ ООД, ЕИК *********, [населено място], депозира писмена молба-отговор с рег. № ДА-01-939/28.03.2025г., депозирана чрез юрисконсулт Ц. Б., в който се излагат аргументи за неоснователност на обжалването, като се претендира присъждане на юрисконсултско възнаграждение. В съдебно заседание ответникът, редовно и своевременно призован, не се явява и не се представлява.

Съдът като прецени доказателствата по делото, приема за установено от фактическа страна следното:

На 07.02.2025г. Б. Р. [община], действащ чрез адвокат П. П. от Адвокатска колегия – [област], изпратил заявление до „Сити Кеш“ ООД, [населено място], с което на основание чл.15 и чл.20 от Регламент (ЕС) 679/2016г. на Европейския парламент и на Съвета било изискано администратора копие на личните данни, които са в процес на обработване (по смисъла на чл.15, §3 от Регламента), във връзка със сключените между администратора на лични данни и Б. Х. договори за кредит. Връчването на заявлението било направено на 10.02.2025г. чрез Системата за сигурно електронно връчване. Наред с тези данни било обективирано и искане за предоставяне на копия на договорите за кредит, тъй като според заявителя тези договори са носители на лични данни.

На 10.03.2025г. от страна на „Сити Кеш“ ООД, [населено място] на посочената в заявлението електронна поща бил депозиран отговор, с който била предоставена част от заявената информация. В отговора дружеството посочило, че искането за предоставяне на копия на договорите се явява прекомерно, с оглед липсата на основание за предоставянето им от страна на администратора. По отношение на искането за предоставяне на информация относно направените плащания, от които да е видно суми в какъв размер са постъпили, както и за погашения на кои компонентни от съответните договори са използвани от кредитора заплатените суми, лихви такси, неустойки и други, дружеството преценило, че то е извън обхвата на заявеното права на достъп.

От страна на дружеството било отразено, че Общите условия по договорите за кредит не съдържат лични данни и в тази връзка не са в обхвата на заявеното от лицето право. В отговора било посочено, че параметрите по договорите за кредит, съответно разпределението на плащанията по компоненти главница, лихва, неустойки, не са в обхвата на заявеното от лицето право, с оглед обстоятелството, че лицето не може да бъде идентифицирано като субект по тях. Дружеството посочило, че същите не подлежат на проверка от страна на заявителя, като при евентуален спор същите се разглеждат по съдебен ред.

В отговора била обективирана и констатация на администратора, че от приложеното пълномощно и учредените от лицето права на адвокат П. П., с които същият е упълномощен да се снабдява с информация и документи от кредитори, с цел завеждане на искови производства от името на заявителя Б. [община], се налага извод за прекомерност на искането предвид намерението да се навреди на администратора. Като автор на изготвения отговор била посочена П. Л. – длъжностно лице по защита на данните.

Недоволен от получения отговор Б. Р. [община], действащ чрез адвокат П. П. от Адвокатска колегия – [област], го оспорил на 11.03.2025г. пред Административен съд – [област], по повод на което е образувано и настоящото производство.

При така изяснената фактическа обстановка и след проверка на оспорвания административен акт съобразно чл.168, ал.1 АПК, съдът прави следните правни изводи:

Съдът приема за безспорно обстоятелството, че между жалбоподателя „Сити Кеш“ ООД, [населено място] са налице облигационни отношения, възникнали по силата на сключени договори за паричен заем, наличието на което обстоятелство не е спорно по делото, като оспорващият е субект, чийто лични данни са обработвани от дружеството – ответник, и съответно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл.15 от Регламент (ЕС) 2016/679 на ЕП и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679).

Ответникът „Сити Кеш“ ООД попада в хипотезата на определението по чл.4, т.7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган - Комисията за защита на личните данни (чл.38, ал.1 от ЗЗЛД) и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК (чл.39, ал.1 от ЗЗЛД).

Ограничителното условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД - да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Видно от представеното и прието по делото Писмо с изх. № ППН-01-349# от 26.03.2025г. не е налице висящо или приключило производство пред Комисия за защита на личните данни, инициирано от Б. Х. срещу „Сити Кеш“ ООД.

По изложените съображения депозираната жалба се явява процесуално допустима, като подадена от надлежна страна с правен интерес от обжалването и в преклузивния срок по чл.149, ал.1 от АПК.

Разгледана по същество, същата се преценява от настоящата съдебна инстанция като основателна, при следните съображения:

Според чл.4, §1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

В чл.15 от Регламент 2016/679, е предвидено „право на достъп на субекта на данните“, като в параграф 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните...“.

Според чл.15, §3 от Регламент 2016/679 „администраторът предоставя копие от личните данни, които са в процес на обработване“.

В конкретния случай отправеното от жалбоподателя искане до администратора на лични данни – „Сити Кеш“ ООД, [населено място], несъмнено има характер на заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл.37в от ЗЗЛД. Същото е подадено във връзка с упражняване на правата по чл.15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда чл.15, §3 от Регламент 2016/679.

Въз основа на приобщените по делото доказателства, съдът намира, че ответникът „Сити Кеш“ ООД, който по силата на определението по чл.4, т.7 от Регламент 2016/679 е „администратор“ на лични данни е постановил нищожен акт. Видно от представената преписка и изявлението в изразеното становище от „Сити Кеш“ ООД, администраторът на лични данни е отговорил на оспорващия по електронен път, но без писмото да е подписано с валиден квалифициран електронен подпис. Видно от писмото - отговор, в него се съдържа отбелязване, че изхожда от длъжностното лице по защита на данните в „Сити кеш“ ООД П. Л., но липсва подпис – ръкописен или електронен. Ето защо съдът приема, че оспореният акт е издаден при неспазване на установената форма и при допуснато съществено нарушение на административно производствените правила. Това е така, защото в случая администраторът на лични данни е постановил оспорения с настоящата жалба отказ при неспазване на установената в закона форма по смисъла на чл.59, ал.2, т.8 от АПК, доколкото в представения от органа документ липсва подпис на издателя на документа. Липсата на подпис е съществен порок, тъй като води до невъзможност да се установи издателят на акта и спазването на изискването за компетентност, което от своя страна съставлява основание за прогласяване на нищожността на акта. Полагането на подпис свидетелства за формираната воля на органа за издаване на съответния акт и е потвърждение, че този акт изхожда именно от него. Липсата на този съществен реквизит води до невъзможност за установяване, че актът е издаден от компетентния орган, а липсата на материална и/или персонална компетентност на издателя води до нищожност на издадения от него акт, която подлежи на обявяване от съда.

Независимо от основанията за обявяване на нищожност на оспорения отказ, съдът намира, че следва да разгледа същия и съобразно изискванията на материалния закон. Настоящият съдебен състав намира, че отказът е издаден и в противоречие с материалните правила, поради следното:

В разглеждания случай жалбоподателят е подал заявление по чл.37б от ЗЗЛД до администратора на лични данни, какъвто е „Сити кеш“ ООД, при спазване на посочения в разпоредбата ред, като подаденото заявление отговаря на изискванията на чл.37в от ЗЗЛД относно съдържание и приложения.

В представеното по делото писмено становище от ответника по жалбата се твърди липса на заявено право по чл.15 и чл.20 от Регламент (ЕС) 2016/679.

Така възприетото от ответното дружество не се споделя от настоящия съдебен състав. Съгласно чл.12, §1 от Регламент (ЕС) 2016/679, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и чл.34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. Съгласно чл.12, §2 от Регламент (ЕС) 2016/679, администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в чл.11, §2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. В чл.12, §3 на Регламент (ЕС) 2016/679 е предвидено, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Съгласно чл.12, §4 от Регламент (ЕС) 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред.

В случая горецитираните разпоредби не са спазени от ответника по жалбата. Подаденото от жалбоподателя заявление е във връзка с упражняване на правата му по чл.15 - чл.20 от Регламент (ЕС) 2016/679 и съгласно §3 на чл.15 от Регламент (ЕС) 2016/679, администраторът е длъжен да предостави достъп до данните и копие от личните данни на субекта. Съгласно чл.15, §1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасяща се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администратора обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на достъп до данни по реда на чл.15, §1 от Регламент (ЕС) 2016/679 е нарушение на основните принципи за обработка на личните данни, предвидени в чл.5, §1, б. „а“ от Регламент 2016/679. С чл.12, §1 от Регламент (ЕС) 2016/679 администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и дали се обработват в съответствие с Регламент (ЕС) 2016/679, което гарантира възможността му да упражни впоследствие и други права, защитени от Регламент (ЕС) 2016/679.

Ответникът по жалбата не опроверга твърденията, че жалбоподателят не притежава изисканата информация, включително относно извършените плащания по договорите за кредит. С оспорения отказ ответното дружество лишава жалбоподателя от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. Субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Ответникът е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл.8, §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от Регламент (ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл.8, §2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

Относно твърдението на ответника, че съгласно чл.15 и чл.20 от Регламент (ЕС) 2016/679, физическото лице следва да получи точно копие от обработваните лични данни, а не материалния субстрат на същите (във връзка с искането за предоставяне на копия от сключените договори за кредит), съдът намира следното:

Както вече бе посочено, съгласно чл.15, §1 от Регламент (ЕС) 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, включително и информация относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията, въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност, администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването (чл.12, §1 от Регламента) в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т.ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая наличието на сключени договори за кредит. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правата, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Действително правото да се предостави копие на лични данни по смисъла на чл.15, §3 от Регламент (ЕС) 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т.ч. и под формата на компилация от данни. Но следва да се има предвид приетото в Решение на СЕС от 4 май 2023г. по дело C-487/21, че това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права.

Разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключени договори за кредит и именно тези договори се явяват носители на информация за обработваните лични данни по смисъла на чл.15, §1 от Регламент (ЕС) 2016/679.

Предвид изложеното съдът приема, че ответникът по жалбата е следвало да предостави исканите копия от сключените договори за кредит, за да може жалбоподателят ефективно да упражни предоставените му с Регламента права.

Съдът счита, че с оглед ефективно упражняване на правата, предоставени му с Регламент (ЕС) 2016/679, жалбоподателят има право да получи и достъп до обработваните му лични данни, визирани в подаденото заявление до „Сити Кеш“ ООД.

В процесния случай не са налице и предпоставките по чл.37а, ал.1 от ЗЗЛД, при които администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл.12 - 22 от Регламент (ЕС) 2016/679.

Следователно е налице и твърдяната от жалбоподателя незаконосъобразност.

Въз основа на изложеното и като провери законосъобразността на оспорения акт по реда на чл.168 от АПК, съдът приема, че същият е нищожен и незаконосъобразен. Жалбата като основателна следва да се уважи, а обжалваното писмо-изричен отказ на „Сити кеш“ ООД, ЕИК *********, [населено място] от 10.03.2025г. следва да бъде прогласено за нищожно и на основание чл.173, ал.2 и чл.174 от АПК преписката следва да бъде изпратена на администратора на лични данни „Сити кеш“ ООД за ново произнасяне в 30-дневен срок от влизане в сила на решението, съобразно изложените мотиви от съда, които са задължителни относно приложението на материалния и процесуалния закон.

С оглед изхода на спора и на основание чл.143, ал.1 от АПК, претенцията на жалбоподателя за присъждане на направените по делото разноски е основателна, поради което ответникът по жалбата следва да бъде осъден да заплати на жалбоподателя направените от него по делото разноски в размер на 12,00 лева, представляващи внесена държавна такса. На основание чл.38, ал.2, във връзка с чл.38, ал.1, т.2 от ЗА, пълномощникът на жалбоподателя има право на адвокатско възнаграждение, с оглед представените по делото: договор за правна защита и съдействие за оказване на адвокатска помощ безплатно (л.13) и пълномощно, поради което ответникът по жалбата следва да бъде осъден да заплати на пълномощника на жалбоподателя адвокатско възнаграждение в размер на 900,00 лева, който размер съответства на действителната фактическа и правна сложност на делото и е пропорционален спрямо извършената правна защита, при приложението на чл.36, ал.2 от ЗА и съобразяване на Решение на Съда на Европейския съюз от 25 януари 2024 г. по дело С-438/22.

Воден от гореизложеното и на основание чл.172, ал.2 и чл.173, ал.2 от АПК, Административен съд – [област]

РЕШИ:

ОБЯВЯВА по жалба на Б. Р. Х. от [населено място] за нищожен Изричен отказ на „Сити кеш“ ООД, ЕИК *********, [населено място] от 10.03.2025г., в качеството му на администратор на лични данни.

ИЗПРАЩА преписката на „Сити Кеш“ ООД, ЕИК *********, в качеството му на администратор на лични данни, за произнасяне по заявление на Б. Р. Х. от 07.02.2025г. при съобразяване с указанията по тълкуване и прилагане на закона в мотивите на настоящото решение, в 30-дневен срок от влизане в сила на решението.

ОСЪЖДА „Сити Кеш“ ООД, с ЕИК *********, [населено място], да заплати на Б. Р. Х. от [населено място], [ЕГН], сумата от 12,00 (дванадесет) лева, разноски по делото.

ОСЪЖДА „Сити Кеш“ ООД, с ЕИК *********, [населено място], да заплати в полза на адвокат П. П. от Адвокатска колегия – [област] сумата от 900,00 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на Б. Р. Х. безплатна адвокатска помощ и съдействие на основание чл.38, ал.1, т.2 от Закон за адвокатурата.

Решението подлежи на касационно обжалване пред Върховния административен съд на Република България [населено място] в 14-дневен срок от съобщаването чрез изпращане на препис по реда на чл.137 от АПК. Касационната жалба се подава чрез Административен съд – [област].