Решение по адм. дело №1658/2025 на Административен съд - Варна

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба на Г. А. К. с [ЕГН] от гр. Варна, подадена чрез адв. К., против писмо – отговор от 21.07.2025г. от „Неткредит“ ООД, гр. София, с който на жалбоподателя, по повод отправено от негова страна писмено заявление за достъп до личните му данни за периода от 01.01.2020 г. до 22.04.2025 г., се отказва предоставянето на копия на носителите на тези данни – договори, анекси, погасителни планове, стандартни европейски формуляри и други, въз основа на които се обработват личните му данни.

Излагат се съображения за незаконосъобразност на оспореното писмо, като се прави искане да бъде отменен отговор от 21.07.2025г. на „Неткредит“ ООД, издаден относно искане от 22.04.2025г. и допълнително искане от 23.05.2025г. на осн. чл. 15 и чл. 20 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета като незаконосъобразен. Отправя се искане да бъде определен срок за предоставяне на поисканата информация и документи от жалбоподателя, като се дадат задължителни указания по тълкуването и прилагането на закона, включително да бъдат изпратени копия от всички документи в цялост, в които се съдържат личните данни на субекта. Прави се искане ответникът да заплати направените в настоящото производство разноски, включително адвокатско възнаграждение, съобразно сключен договор за правна защита и съдействие.

Ответникът по жалбата – „Неткредит“ ООД, чрез пълномощника гл. юрисконсулт П., в представения по делото отговор с.д. 15524/29.09.2025 г., оспорва жалбата като недопустима, а в условията на евентуалност като неоснователна. Твърди се, че по искането за предоставяне на лични данни от 22.04.2025 г. в законоустановения срок и доколкото дружеството е намерило искането по чл. 15 и чл. 20 от ОРЗД за основателно, то с оглед осигуряване на възможност на субекта на данни да бъде информиран относно обработването на данните и да направи проверка за неговата законосъобразност, на посочената от жалбоподателя електронна поща е изпратен отговор и извлечение от регистрите с лични данни, в които същите се съдържат. Цялата информация е изпратена в електронен формат в структуриран, широко използван и пригоден за машинно четене формат PDF и е предоставена в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, в съответствие с принципа за прозрачност. Администраторът е посочил, че представянето на цели документи е допустимо, когато последното се явява задължително, за да може субектът на данните ефективно да упражни предоставените му с ОРЗД права. Изтъква се, че с допълнително искане от 23.05.2025 г. жалбоподателят се е задоволил да изрази становище за съдържанието и обема на правата по чл. 15-22 от ОРЗД, но липсват твърдения касателно задължителния характер на представянето на търсените документи с оглед упражняване на предоставените му по ОРЗД права. Независимо от горното, с последващо писмо дружеството-ответник е уведомило жалбоподателя за създадената сигурна система по смисъла на съображение 63 от ОРЗД, посредством която на субекта е осигурен пряк достъп до личните му данни и техните носители, с което „Неткредит“ ООД е приело, че искането е удовлетворено и не е предприемало последващи действия. По тези съображения се иска депозираната жалба да бъде върната като недопустима, а в условията на евентуалност да бъде оставена без уважение. Претендира се юрисконсултско възнаграждение за осъщественото процесуално представителство.

Въз основа на събраните по делото доказателства съдът намира за установено от фактическа страна следното:

На 22.04.2025 г., жалбоподателят Г. А. К., чрез адвокат С. К., е подал по електронен път до „Неткредит“ ООД искане, подписано с електронен подпис, с което на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО/, е поискал от дружеството-ответник, в качеството му на администратор на лични данни да му предостави информация, относно това дали личните му данни са обработвани от „Неткредит“ ООД, както и да посочи целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, вкл. и копие на всички носители на лични данни за периода от 01.01.2020 г. до 22.04.2025 г. Изрично са поискани и копия на всички носители на лични данни на жалбоподателя за процесния период, в това число договори, анекси, погасителни планове, стандартни европейски формуляри и др., за да се извърши справка на обработваните данни, включително по вече погасени и неактивни към момента правоотношения между страните. Обърнато е и внимание за задължението на финансовата институция да съхранява лични данни като администратор за срок от 5 години след прекратяване на дадено правоотношение. В искането е посочен и електронен адрес, на който да бъдат изпратени съответните документи. По делото не се спори, а и се потвърждава от дружеството-ответник в представения писмен отговор с.д. 15524/29.09.2025 г., че искането е достигнало до адресата си – „Неткредит“ ООД на 22.04.2025 г.

На 16.05.2025 г., е получен отговор, подписан от управителя на „Неткредит“ ООД, в който се сочи, че в законоустановения срок и доколкото дружеството е намерило искането по чл. 15 и чл. 20 от Директива 95/46/ЕО за основателно, както и с оглед осигуряване на възможност на субекта на данни да бъде информиран относно обработването на данните и да направи проверка за неговата законосъобразност, на посочената от субекта електронна поща е изпратен отговор и извлечение от регистрите с лични данни, в които същите се съдържат. Администраторът е посочил, че правото на достъп до лични данни не включва получаването на копия на документи, създавани и/или съхранявани от администратора на лични данни, освен ако същото е задължително, за да може субектът на данните ефективно да упражни предоставените му с ОРЗД права. В писмото се изтъква, че доколкото в полученото искане не е налице изложение кои обстоятелства налагат предоставянето на цели документи, необходимо е с последваща молба да се посочат фактите и обстоятелствата, въз основа на които Г. К. претендира предоставяне на копия от исканите документи. Към писмото е приложен формуляр за предоставяне на информация и достъп до лични данни по смисъла на чл. 15 от ОРЗД.

На 23.05.2025 г. на официалния имейл адрес за кореспонденция на администратора - ****@*********.**, жалбоподателят е изпратил допълнително искане, в което сочи, че полученият отговор е непълен, тъй като с него не са предоставени копия на носителите на лични данни (договори, анекси, погасителни планове, стандартни европейски формуляри и др.) за посочения период. Отправено е повторно искане за предоставяне на изисканата информация, както и копие на всички носители на лични данни на Г. А. К. за периода от 01.01.2020 година до 22.04.2025 година. Посочено е, че „Неткредит“ ООД, в качеството си на администратор на лични данни е задължено по смисъла на чл. 12 от Регламента да предприема необходимите мерки за предоставяне на всякаква информация, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Изтъква се, че такава „информация“ в широк смисъл представлява и носителят на личните данни – от една страна, защото това е основанието за събиране на тези данни по смисъла на чл. 6, б. „б“ от Регламента и от друга, защото копието на тези носители се желае от страна по него.

На 21.07.2025 г. е получен отговор от администратора на лични данни, в който се потвърждава, че дружеството посредством представения формуляр е предоставило информация за пълния обем на обработваните данни. Посочено е, че посредством изпратеното извлечение от регистрите с лични данни, в които същите се съдържат, е предоставена конкретна информация касателно: целите на обработването; категориите лични данни, които са в процес на обработване; получателите/категориите получатели, пред които са или ще бъдат разкрити личните данни; срок за който ще се съхраняват личните данни; наличие на право на субекта на данни да изиска от администратора коригиране, изтриване или ограничаване на обработването, както и правото на възражение срещу такова обработване; наличие на право на субекта на данни да подаде жалба до надзорен орган; наличие на автоматизирано взимане на решения. Цялата информация е изпратена в електронен формат в структуриран, широко използван и пригоден за машинно четене формат PDF и предоставена в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, в съответствие с принципа за прозрачност. Детайлно и подробно са описани целите на обработката на личните данни. Посочено е, че администраторът е осигурил на субекта на данни достъп от разстояние до сигурна система, която от сключване на кредита до момента му предоставя пряк достъп до данните по смисъла на съображение 63 от ОРЗД, като клиента разполага с осигурен от дружеството достъп до уникален и интерактивен личен клиентски профил, създаден от „Неткредит“, въз основа на предоставените от данни и документи, в който се съхраняват клиентски данни, документи и комуникация с „Неткредит“, достъпен през Платформата на дружеството.

Горната фактическа обстановка се установява от представената по делото административна преписка, образувана по повод искането за достъп до лични данни.

От жалбоподателя по делото е представено писмо с изх. №ППН-01-1148#1 от 01.08.2025 г. на Председателя на КЗЛД, в което е удостоверено, че след направена служебна справка на 29.07.2025 г. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от Г. А. К. срещу „Неткредит“ ООД (л. 55 гръб от делото).

При така установените по делото факти съдът прави следните правни изводи:

Приложимата към процесния казус нормативна уредба се съдържа в Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО, както и в Закона за защита на личните данни.

Съгласно легалното определение на § 1, т. 1 и т. 4 от ДР на ЗЗЛД, по смисъла на този закон „лични данни“ e понятието по чл. 4, т. 1 от Регламент /ЕС/ 2016/679, а „обработване“ е понятието по чл. 4, т. 2 от Регламент /ЕС/ 2016/679. Според чл. 4, § 1 от регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /“субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. § 2 на чл. 4 от регламента гласи, че „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В § 1, т. 2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон „администратор“, с изключение на администратора по глава осма, е понятието по чл. 4, т. 7 от Регламент /ЕС/ 2016/679, а съгласно т. 3 от § 1 на ДР на ЗЗЛД „обработващ лични данни“ е понятието по чл. 4, т. 8 от регламента. Съответно според чл. 4, § 7 и § 8 от Регламент /ЕС/ 2016/679 „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.

В чл. 15 от Регламент /ЕС/ 2016/679 е предвидено „право на достъп на субекта на данните“, като в § 1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните.“ Според чл. 15, § 3 от Регламент /ЕС/ 2016/679, „администраторът предоставя копие от личните данни, които са в процес на обработване.“ Според чл. 12, § 3 от Регламент /ЕС/ 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

По допустимостта на жалбата:

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по от Регламент /ЕС/ 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни /чл. 38, ал. 1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл. 39, ал. 1 от ЗЗЛД/. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда.

По делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гл. т. на предмет и страни, с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

В случая подаденото от жалбоподателя искане от 22.04.2025 г. представлява заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД, съдържащо реквизитите по чл. 37в от ЗЗЛД във връзка с упражняване на правата му по смисъла на чл. 15 от Регламент /ЕС/ 2016/679, като по същото искане администраторът на лични данни, какъвто безспорно се явява „Неткредит“ ООД, дължи произнесе в срока визиран в специалната разпоредбата на чл. 12, § 3 от Регламент /ЕС/ 2016/679.

Отказът на ответника да предостави на Г. К. достъп до конкретните носители на лични данни, т. е. документите, чрез които тези данни се обработват /договори и др. документи/, обуславя наличието на пряк, личен и непосредствен интерес за жалбоподателя, противно на изложеното от страна на ответника становище. Следователно оспорването, като направено от легитимирано лице с правен интерес и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност съгласно изричната разпоредба на чл. 39, ал. 1 от ЗЗЛД, е процесуално допустимо, а релевираното от ответника възражение за недопустимост на жалбата съдът намира за неоснователно.

Съдът намира, че оспореният административен акт е издаден от компетентен орган. По делото не е налице спор, че ответното дружество „Неткредит“ ООД е администратор по смисъла на § 1, т. 2 от ДР на ЗЗЛД, във вр. с чл. 4, т. 7 от ОЗРД, по отношение личните данни на жалбоподателя, свързани с вземане по договори за кредит. Оспореният акт е подписан от законния представител на дружеството, поради което същият е компетентен да издаде постановения отказ за удовлетворяване на искането.

Съдът не установи допуснати при издаването на акта, съществени нарушения на процесуалните правила.

Независимо от горното съдът намира, че в случая материалният закон е приложен неправилно, което обуславя основателност на жалбата.

С оглед съвкупната преценка на материалите по делото в т. ч. и направените от страните изявления се установява, че спор по фактите не съществува. Спорният въпрос по делото е правен и се свежда до това следва ли в хипотезата на чл. 15 § 3 от Регламент /ЕС/ 2016/679/, администраторът на лични данни „Неткредит“ ООД да предостави на жалбоподателя поисканите от него носители на лични данни /договори, анекси, погасителни планове, европейски формуляри и др./, въз основа на които тези данни се обработват или това искане е неоснователно и прекомерно и следва да му бъде отказано съгласно чл. 12, § 5, б. „б“ от Регламента.

На първо място следва да се посочи, че видно от съдържанието на отговора от 21.07.2025 г. на жалбоподателя е била представена обширна информация за категорията и вида лични данни, които се обработват от администратора. Информацията за целите, за които се обработват личните данни, макар и съдържателно, е представена по-скоро общо, като самите цели съответстват на специфичната стопанска дейност, която извършва ответника – отпускане на кредити, каквито в случая са налични по отношение на Г. К. или най-малкото са налице възникнали преддоговорни отношения по повод отпускането на такива, т.е. между „Неткредит“ ООД и жалбоподателя са съществували облигационни отношения, предполагащи, а и изискващи обработката на определена категория лични данни, която обработка в случая не се отрича.

Един от основните принципи въведени от Регламент /ЕС/ 2016/679 по повод обработването на лични данни са и тези, съдържащи се в чл. 5 § 1, б. „а“ и „б“ съгласно които личните данни следва да са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните /“законосъобразност, добросъвестност и прозрачност“/, както и да са събирани за конкретни, изрично указани и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тези цели, като отговорността за това, респективно и задължението да докаже изпълнението на тези принципи лежи изцяло върху администратора на личните данни, който всъщност е субектът, определящ предварително категорията лични данни, които ще обработва и целите на обработката. Принципите на отчетност и прозрачност са призовани в защита на правата и интересите на субектите на лични данни, доколкото те следва да могат по всяко време и на правно основание да изискат от администратора доказателства, че обработката на данните е законосъобразна по смисъла на чл. 6 от Регламента. От своя страна чл. 6, § 1 от Регламент /ЕС/ 2016/679 гласи, че обработването е законосъобразно, само ако и доколкото е приложимо поне едно от изброените в разпоредбата условия, измежду които съгласно б. „а“ субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели, а съгласно б. „б“ обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор. Т. е. налага се изводът, че обработката на лични данни не може да е за цели, различни от тези, за които субектът е дал съгласие в т. ч. и за договори, по които той не е страна, може да не е страна или не е уведомен, че е страна. В случая такива обстоятелства не се твърдят, а и не се установяват от приложените по делото писмени доказателства.

Както вече бе посочено съгласно чл. 15, § 1 от Регламент /ЕС/ 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, в т. ч. и информация, относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването /чл. 12, § 1 от Регламента/ в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т. ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая наличието на сключени договори за парични заеми и/или съществуването на преддоговорни отношения. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правото си на коригиране, изтриване /правото „да бъдеш забравен“/ и на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от Регламента.

Без съмнение правото да се предостави копие на лични данни, по смисъла на чл. 15, § 3 от Регламент /ЕС/ 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т. ч. и под формата на компилация от данни. Според т. 21 от Решение от 4 май 2023 г. по Дело C-487/21 на СЕС, доколкото в ОРЗД не е дадено определение на така използваното понятие "копие", следва да се отчете обичайното значение на това понятие, което, както отбелязва генералният адвокат в т. 30 от заключението си, обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение. Съгласно т. 23 от същото решение употребата на израза "всяка информация" в определението на понятието "лични данни", отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че "засяга" съответното лице. В т. 45 на Решение от 4 май 2023 г. по Дело C-487/21 на СЕС е пояснено, че член 15, § 3, първо изречение от ОРЗД трябва да се тълкува в смисъл, че: правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. В този смисъл е и Решение № 1159/11.02.2025 г., постановено по адм. дело № 9474/2024 г. по описа на ВАС.

В случая жалбоподателят е посочил и причините за желанието му за предоставяне на копия от документи, съдържащи лични данни, а именно за да се извърши справка на обработваните данни с цел да се увери субектът, какъв е обема на обработваните данни, реалните цели на обработка, също така за установяване, упражняване и защита на неговите права. В изпратения от дружеството отговор и приложения формуляр безспорно се установява, че жалбоподателят е субект, чийто данни са обработвани от дружеството, и респективно има право като субект на това обработване на достъп до обработваните от администратора лични данни съгласно ЗЗЛД и Регламента, включително и копие от същите. Но без да бъдат предоставени копията на документи, съдържащи лични данни, субектът на данни е в обективна невъзможност да се увери дали неговите лични данни се обработват законосъобразно в съответствие с Регламента и ЗЗЛД. Именно по този начин, с подаване на искане до администратора, субектът може да се увери по всяко време дали данните му се обработват по законен от дружеството начин.

Предвид горното съдът приема, че в случая и в изпълнение на принципите на прозрачност и отчетност, администраторът е бил длъжен, при наличие на отправеното изрично искане, да предостави на субекта и изисканите от него копия на документи, чрез които се обработват личните му данни, доколкото при неизпълнение на това задължение се ограничава възможността жалбоподателя да узнае конкретните фактически и правни основания, обуславящи целите на обработка на личните му данни и по този начин да извърши проверка дали същите се обработват законосъобразно по смисъла на чл. 6 от Регламент /ЕС/ 2016/679. Обратното разбиране води до ситуация като в процесния случай, в която субектът на данните получава единствено обща информация за вида и категорията на обработваните лични данни, но не може да получи конкретни сведения за целите на обработката, т. е. какво е точното фактическо основанието за нейното извършване. Това води до пряко неизпълнение от страна на администратора на лични данни на задължението за отчетност, което препятства и възможността субекта на данните да осъществи ефективна проверка относно тяхното законосъобразното, добросъвестно и прозрачно обработване, каквото съмнение очевидно се е породило у жалбоподателя.

С отказа на администратора на лични данни жалбоподателят е бил лишен и от „правото на защита на личните данни“, което му се предоставя с чл. 8, § 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване в съответствие с принципите, определени в чл. 5 от Регламент /ЕС/ 2016/679, каквато е и целта на същия. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8, § 2 от Хартата на основните права на ЕС, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Непредоставянето на исканата информация за съществуващи договори и конкретно обработвани данни препятства упражняването и на други права на жалбоподателя – да съобрази дали действително е сключвал някои от договорите за кредит и дали правомерно се обработват личните му данни. Без да бъдат предоставени носителите на лични данни, не е възможно да се разбере дали последните се обработват легитимно, тъй като не се знае дали изобщо има основание за обработването им.

По изложените съображения оспореният отказ да бъдат предоставени на Г. К. копия на носителите на лични данни – договори и др. документи, въз основа на които се обработват личните му данни, обективиран в писмо от 21.07.2025 г., се явява незаконосъобразен и подлежи на отмяна. Делото като преписка следва да се върне на „Неткредит“ ООД за ново произнасяне по искането на жалбоподателя за предоставяне на копия на носителите на лични данни - договори, анекси, погасителни планове, стандартни европейски формуляри и други документи, въз основа на които се обработват данните му, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение.

Предвид изхода на спора, на основание чл. 143, ал. 1 от АПК разноски се дължат на жалбоподателя, който е направил своевременно искане за тяхното присъждане. Същите се констатираха общо в размер на 710. 00 лева, от които 10.00 лева - платена държавна такса и 700.00 лева - адвокатско възнаграждение съгласно договор за правна защита и съдействие от 21.07.2025г.

Водим от гореизложеното и на основание чл. 172, ал. 2, във връзка с чл. 173, ал. 2 и чл. 174 от АПК, съдът

 

РЕШИ:

 

ОТМЕНЯ по жалба на Г. А. К. с [ЕГН] от гр. Варна, писмо – отговор от 21.07.2025г. от „Неткредит“ ООД, гр. София, с който на жалбоподателя, по повод отправено от негова страна писмено заявление за достъп до личните му данни за периода от 01.01.2020 г. до 22.04.2025 г., се отказва предоставянето на копия от всички документи, в които се съдържат лични данни.

ВРЪЩА делото като преписка на „Неткредит“ ООД за произнасяне по подаденото от Г. А. К. искане от 22.04.2025 г. и допълнително искане от 23.05.2025 г., съобразно дадените указания по тълкуване и прилагане на закона в 14-дневен срок от влизане на решението в сила.

ОСЪЖДА „Неткредит“ ООД, ЕИК *********, със седалище и адрес на управление гр. София,  ет. 10, представлявано от управителя И. Х.-С., да заплати на Г. А. К. с [ЕГН] от гр. Варна, сумата от 710.00 лв. (седемстотин и десет) лева, представляваща направени по делото разноски.

Решението подлежи на касационно обжалване в 14-дневен срок от съобщаването му на страните пред Върховен административен съд.