Решение по дело №501/2025 на Административен съд - Хасково

Производството е по реда на чл.145 и сл. от Административнопроцесуалния кодекс (АПК), във вр. с чл.39, ал.1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба от С. А. А. от [населено място], подадена чрез пълномощника й адв. Н. Р., насочена против отказ на „К.“ ЕООД от 28.02.2025г., в качеството му на администратор на лични данни, да предостави на оспорващата поисканите от нея копия на сключен договор за кредит, ведно с всички съпътстващи договора документи.

В жалбата се сочи, че С. А. отправила по електронен път искане до „К.“ ЕООД за предоставяне на копие от сключен между страните договор за кредит, ведно с всички съпътстващи договора документи, като целта била да разбере дали личните й данни се обработвали законосъобразно. Тя не разполагала с друг механизъм за проверка на задължението кои точно данни била разрешила да бъдат обработвани от администратора на лични данни.

Навеждат се доводи в насока, че оспореният отказ на администратора на лични данни е неправилен и в противоречие с материалноправните разпоредби. Цитират се в тази връзка разпоредбите на чл.37б, ал.1 от ЗЗЛД и член 15 от Регламент (ЕС) 2016/279. Прави се позоваване на части от Решение на Съда на ЕС от 04.05.2023г. по дело С-457/21, Решение на Съда на ЕС от 22.06.2023г. по дело С-579/21, Решение на Съда на ЕС от 26.10.2023г. по дело С-307/22. Въз основа на това се счита, че право на субектите на лични данни е да получават копие от извлечения от документи, които съдържат съответните изискани данни, за да могат да упражнят ефективно предоставените им от Регламент (ЕС) 2016/279 права. В случая без представянето на точна реплика или копие на договора за кредит, жалбоподателката не можела да упражни ефективно правата по посочения регламент.

В писмено становище се излагат подробни съображения за основателност на жалбата, които се основават на тълкуване на разпореди от Закона за потребителския кредит. Претендира се отмяна на оспорения отказ и присъждане на разноски по делото.

Ответникът – „К.“ ЕООД, чрез пълномощник, в писмен отговор изразява становище за неоснователност на жалбата. Счита, че изричен отказ не е налице, тъй като нямало заявено право съгласно Регламент (ЕС) 2016/679, като в депозираната от субекта молба не било конкретизирано нито едно от правата по чл.15-чл.22 от посочения регламент.Счита, че член 15, параграф 1 от Регламент (ЕС) 2016/279 не регламентира право на субекта да получи копия от носителите на лични данни, а право на достъп до личните му данни. Предоставянето на „достъп до лични данни“ било различно от „копие от сключен между страните договор за кредит, ведно с всички съпътстващи документи“. Администратора и кредитор на субекта по активен договор за кредит, надлежно го информирал ежемесечно за размера на дължимото плащане към кредитора и така предоставял актуална информация за размера на дължимотоот него задължение. Субекта не е посочил и не бил доказал пред администратора причините поради които му е необходимо копие от договора за кредит, сключен с администратора. При липса на задължение за администратора да отказ такъв не бил сформиран от администратора. Моли жалбата да бъде отхвърлена и да се присъди юрисконсултско възнаграждение в размер на 300 лева. С допълнително представена молба се сочи, че електронното писмо от 28.02.2025г. не е подписано с електронен подпис, като съгласно действащото материално право - чл.4 от ЗЕДЕУУ автор на волеизявлението е физическото лице, което в изявлението се сочи като негов извършител. Писмото било изпратено от служебен електронен адрес, посочен бил и автора на документа - длъжностно лице по защита на данните и авторството на документа не било оспоримо. Критериите за нищожност на акта не били налице, тъй като в случая имало волеизявление на администратора, обект на жалба за изричен отказ.

Административен съд – [област], като прецени доказателствата по делото, доводите и възраженията на страните, приема за установено от фактическа страна следното:

На 29.01.2025г. жалбоподателката С. А. А., чрез пълномощник, подала по електронен път молба до „К.“ ЕООД, с която поискала да й бъде предоставено копие от сключен между нея и дружеството договор за кредит, по силата на който последното е предоставило заем на лицето, ведно с всички съпътстващи договора документи (погасителен план и всички приложения към договора). В молбата се посочва, че искането се прави с оглед проверка на законността на обработването на лични данни. За изпращането на исканите документи А. е посочила ел. адрес.

На 28.02.2025. до С. А. А. е било изпратено писмо (отказ) от името на „К.“ЕООД, в което се посочва, че искането за представяне носителите на данни, а именно договор, погасителен план и всички приложения към него администратора на лични данни намира за прекомерно, с оглед липсата на основание за представянето им и заявената проверка за законосъобразност на обработката от администратора. Писмото е подписано от П. Л. – длъжностно лице по защита на данните.(л.7-л.8). С писмото е предоставена информация обхващаща: целите на обработването на личните данни; категориите данни, които са в процес на обработване; получателите/категориите лица, пред които са или ще бъдат разкрити личните данни; срок за който ще се съхраняват личните данни; наличие на право на субекта на данни да изиска от администратора коригиране, изтриване или ограничаване на обработването, да подаде жалба до надзорен съвет и търсене на защита по съдебен ред.

При така установеното от фактическа страна, се налагат следните правни изводи:

Съгласно чл.39 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс.

Съдът приема за безспорен факта, че между жалбоподателката С. А. А. и „К.“ ЕООД са налице облигационни отношения, предвид сключен договор за кредит, наличието на което обстоятелство не е спорно по делото, като оспорващата е субект, чийто лични данни са обработвани от дружеството ответник, и съответно има право, като субект на това обработване, на достъп до обработваните от администратора лични данни, съгласно член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Съответно ответникът „К.“ ЕООД попада в хипотезата на определението по член 4, параграф 7 от Регламент 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. С оглед процесуалното поведение и на двете страни, съдът приема че между тях не е налице висящо производство по този спор пред КЗЛД и този факт не се нуждае от доказване. В случая по делото няма данни за висящо административно производство пред КЗЛД по оспорване на жалбоподателя. Ответникът не твърди и не доказва пред КЗЛД да има висящо или приключило административно производство, което да е идентично по предмет и страни с настоящото съдебно производство. Ето защо не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор, само при наличието на която би било налице основание за прекратяване на съдебното производство и изпращане на делото като административна преписка по подведомственост на надзорния орган. Жалбоподателят е упражнил правото си да сезира съда с жалба по реда и на основание чл. 39, ал. 1 от ЗЗЛД, поради което съдът е длъжен да разгледа и се произнесе по нейната основателност.

Следователно оспорването, като направено от легитимирано лице с правен интерес, и против действие, подлежащо на съдебно обжалване и контрол за законосъобразност, е процесуално допустимо.

Разгледано по същество, оспорването е основателно.

Според член 4, параграф 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

Съгласно чл. 4, параграф 2 от Регламент 2016/679, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

Според член 15, параграф 1 от Регламент 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация. Последната е конкретно посочена в нормата. Текстът по член 15, параграф 3 от Регламент 2016/679 предвижда администраторът да предоставя копие от личните данни, които са в процес на обработване.

В член 5, параграф 1 от Регламент 2016/679 са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са предвидени принципите законосъобразност, добросъвестност и прозрачност.

Съгласно чл.37б, ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл.37в, ал.1 от ЗЗЛД предвижда, че заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл.15 – 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. С разпоредбата на чл.37в, ал.2 от ЗЗЛД е въведено изискването при подаването на заявление от упълномощено лице, към заявлението да се прилага и пълномощното.

В случая жалбоподателката е депозирала по електронен път именно писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни „К.“ ЕООД, при спазване на посочения в нормата административен ред. Подаденото заявление е в нормативно изискуемата форма откъм реквизити и съдържание, и е съобразено с изискванията на чл.37в от ЗЗЛД, съответно в него е направено описание на искането и то е конкретно, ясно и несъмнено дава пълна представа на адресата каква информация лицето желае да получи, като същото е подадено във връзка с упражняване на правата по член 15 от Регламент 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така както предвижда член 15, параграф 3 от Регламент 2016/679. От съдържанието на процесния отказ става ясно, че така изисканата информация не е била получена в пълен обем от оспорващата.

Съдът намира, че отказът на ответника да удовлетвори напълно искането на заявителката е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. „а“ от Регламент (ЕС) 2016/679.

Следва да се отчете, че разпоредбите на Регламент 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответния администратор обработва за конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит, което обстоятелство не е спорно по делото и именно този договор се явява носител на информация за обработваните лични данни по смисъла на член 15 параграф 1 Регламент 2016/679.

Ето защо настоящата инстанция приема, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679.

В подкрепа на горното са разпоредбите на член 12 от Регламент 2016/679. Според параграф 1 на член 12 от Регламент 2016/679, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а с член 12, параграф 2 от Регламент 2016/679 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“.

Съгласно приетото в практиката на СЕС (вж. реш. [Наименование]/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС от 04.05.2023г. постановено по дело С-487/21 ( т.45 от същото и решение по първите три поставени преюдициални въпроса) изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни.

С оглед възникналите между оспорващата и ответника взаимоотношения, с отказа на администратора на лични данни да й предостави копие от сключения между нея и дружеството ответник договор за кредит, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя и член 14 от Регламент 2016/679 в пълната и желана от субекта на данни степен. Така, лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламент 2016/679. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност (член 5, параграф 1, б. „а“ от Регламент (ЕС) 2016/679).

От друга страна, дори копие от въпросния договор за кредит да е на разположение на оспорващата, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент 2016/679 във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения.

В този смисъл, ответникът е лишил жалбоподателката и от „правото на защита на личните данни“, което й се предоставя с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е била поставена и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламент 2016/679. Оспореният отказ възпрепятства жалбоподателката да се възползва и от правото й по член 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните й са обработвани добросъвестно, за точно определени цели и въз основа на съгласието й или по силата на друго предвидено от закона легитимно основание.

По изложените съображения жалбата се явява основателна, а оспореният отказ – незаконосъобразен. Поради това, същият следва да бъде отменен и преписката да се върне на администратора на лични данни за произнасяне по заявлението в цялост, при съобразяване с дадените указания по тълкуването и прилагането на закона.

В горната насока е и константната практика на касационната инстанция по идентични случаи. Така Решение №1159 от 11.02.2025г. на ВАС по адм. д. №9474/2024г., Решение № 7101 от 28.06.2023г. на ВАС по адм. д. №1825/2023г. и Решение № 2763 от 18.03.2025г. постановено по адм.дело № 11251/2024г. по описа на ВАС( постановено по касационна жалба на настоящия ответник). В последното изрично е прието, че лед като подаденото заявление за достъп до лични данни по чл. 15 от ЗЗЛД, отговаря на изискванията на чл. 37б и чл. 37в от ЗЗЛД - а именно писмено заявление, адресирано е до задължено лице - администратор на лични данни, то получаването на заявлението поражда задължение за администратора на данни, до когото е отправено по чл. 12, § 3 от Регламента да предостави на субекта на данните информация относно действията, предприети във връзка с искане по чл. 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането.

Посочената от ответника съдебна практика настоящият съдебен състав не споделя, а и не е длъжен да се съобразява с нея, доколкото същата няма задължителен характер за съдилищата.

По отношение доводите излагани от ответника във връзка със Закона за защита на потребителския креди: Закона за защита на личните данни е специален закон спрямо Закона за потребителския кредит, който от своя страна регламентира частно правни отношения. Предвид това прилагането на последния в отношенията на страните по него, не изключва по никакъв начин приложното поле на ЗЗЛД и на Регламент (ЕС)2016/679.

При този изход на спора жалбоподателката има право на разноски, а именно 10 лева внесена държавна такса за образуване на делото и минимално предвиденото за този вид дела възнаграждение за адвокат, по Наредба № 1 от 9.07.2004г. за възнаграждения за адвокатска работа. В случая адвоката е представлявал оспорващата оспорващата в настоящото производство на основание чл.38, ал.1, т.2 от Закона за адвокатурата (ЗА).

Правото на адвоката да окаже безплатна адвокатска помощ на лице по чл.38, ал.1, т.2 от ЗА е установено със закон. Когато в съдебното производство насрещната страна дължи разноски, съгласно чл.38, ал.2 от ЗА, адвокатът, оказал на страната безплатна правна помощ има право на адвокатско възнаграждение в размер, определен от съда, което възнаграждение се присъжда на адвоката. За да упражни последният това свое право е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл.38, ал.1, т.2 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице, поради което на представляващия оспорващата адвокат следва да бъде заплатено от ответника адвокатското възнаграждение в размер на 900 лева, определено по реда на чл.8, ал.2, т.10 Наредба № 1 от 9.07.2004г. за възнаграждения за адвокатска работа.

Водим от горните мотиви и на основание чл.172, ал.2 от АПК, вр. чл.173, ал.2 и чл.174 от АПК, съдът

 

РЕШИ:

 

ОТМЕНЯ по жалба на С. А. А. отказ на „К.“ ЕООД от 28.02.2025г., в качеството му на администратор на лични данни, да предостави на оспорващата поисканите от нея копия на сключен договор за кредит, ведно с всички съпътстващи договора документи.

ВРЪЩА преписката на „К.“ ЕООД, ЕИК ***, за произнасяне по подадената от С. А. А. молба от 29.01.2025г., при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, като на основание чл.174 от АПК определя 14-дневен срок от влизане в сила на съдебното решение.

ОСЪЖДА „К.“ ЕООД, ЕИК ***, да заплати на С. А. А. от [населено място] разноски по делото в размер на 10.00 (десет) лева.

ОСЪЖДА „К.“ ЕООД, ЕИК *** , да заплати на адвокат Н. Р. от Адвокатска колегия – [област] сумата от 900.00 (деветстотин) лева, представляваща адвокатско възнаграждение за оказана на С. А. А. от [населено място] безплатна адвокатска помощ и съдействие на основание чл.38, ал.1, т.2 от Закон за адвокатурата.

Решението подлежи на касационно обжалване пред ВАС в 14-дневен срок от съобщаването му.