Решение по адм. дело №1125/2025 на Административен съд - Хасково

Производството е по реда на чл. 145 и следващите от Административнопроцесуалния кодекс (АПК), във вр. с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на С. М. М. от [населено място], обл. Х., чрез адв. Т. Ц. от САК, срещу Отказ на „Кеш кредит мобайл“ ЕАД, обективиран в Писмо изх. № 56/22.04.2025 г., да уважи в цялост негово заявление за упражняване на право на достъп до лични данни съгласно по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година (Регламента), от 22.04.2025 г., като му предостави копия от всички документи, в които се съдържат негови лични данни, включително, но не само договор за кредит, договор за цесия, погасителен план и други.

В жалба са развити доводи за неправилност на оспорения отказ поради нарушение на материалния закон. Твърди се, че при направена справка в ЦКР към БНБ се установило, че жалбоподателят бил задлъжнял към „Кеш Кредит Мобайл“ ЕАД, като според него бил изплатил на дружеството повече суми, отколкото били по договор, поради което имал съмнение, че размерът на дължимите суми били незаконно увеличени без негово знание. В тази връзка той упълномощил адвокат Т. Ц. да го представлява пред дружеството, като на 22.04.2025 г. процесуалният му представител изпратил електронно съобщение до електронната поща на „Кеш кредит мобайл“ с прикачено пълномощно от С. М., и искане да му бъдат предоставени документи от кредитното му досие. На същия ден адвокат Т. Ц. получил процесното писмо, в отговор на което той изпратил ново електронно съобщение до ответната страна с искане да му бъде предоставен и договора за обезпечението, тъй като съгласно чл. 1, ал. 4, т. 4 от договора за потребителски кредит подписването на договор за обезпечение било задължително условия за отпускане на кредита, както и платежни нареждания за направени вноски от жалбоподателя, но от дружество му отговорили, че не разполагат с тях. Поддържа се, че отговорът на „Кеш Кредит Мобайл“ ЕАД по същността си представлявал осигуряване на „частичен достъп“, който не изпълнявал изискването на член 15, пар. 3 от Регламента, като в тази връзка се прави позоваване на практиката на СЕС и на ВАС. Сочи се още, че жалбоподателят трябвало да получи всички копия от документи, които се съдържали в кредитното досие, поддържано и съхранявано от ответното дружество, тъй като това било единственият начин да се увери, че личните му данни се обработвали законосъобразно от „Кеш Кредит Мобайл“ ЕАД или съответно че се обработвали по незаконосъобразен начин, респ. да може да упражни ефективно предоставените му от Регламента права.

Предвид изложеното се иска да се отмени оспорения отказ, като се уважи в цялост правото му на достъп по член 15 от Регламента съобразно направеното искане и получи копия от всички документи, в които се съдържат негови лични данни, а именно от договора за обезпечението и платежните нареждания за извършените от него плащания, както и да задължи се дружеството, в качеството си на администратор на лични данни, да му предостави същите. Претендира се и присъждане на направените по делото разноски.

Ответникът по жалбата - „Кеш кредит мобайл“ ЕАД, чрез процесуален представител в писмен отговор, изразява становище за нейната неоснователност.

Съдът, като прецени събраните по делото доказателства, поотделно и в съвкупност, както и доводите на страните, съобразно изискванията на чл. 12 ГПК и чл. 235, ал. 2 ГПК, във вр. с 144 АПК, приема за установено от фактическа страна следното:

На 22.04.2025 г. С. М. М., чрез пълномощника си адв. Т. Ц. от САК, е подал по електронен път заявление до „Кеш кредит мобайл“ ЕАД, с което е поискал от дружеството да предостави достъп до всичките му лични данни, които то обработва в качеството му на администратор на лични данни, като му предостави копия от всички документи, в които се съдържат негови лични данни, включително, но не само договор за кредит, договор за цесия и други, и те да бъдат изпратени на посочената му електронна поща. Към молбата е приложено и пълномощно за адв. Т. Ц. от САК.

С Писмо изх. № 56/22.04.2025 г. „Кеш кредит мобайл“ ЕАД, чрез юрк. Х. И., е уведомил С. М. М., че дружеството обработва неговите лични данни с оглед сключен между страните Договор за потребителски кредит № 3-1-12051-220734 от 28.02.2020 г. и само единствено за целите, залегнали в самия договор, а именно: идентификация, оценка на кредитоспособността, изпълнение на договорни задължения и законодателни изисквания. Освен това са описани конкретните категории лични данни, като са му предоставени: Искане № ********* за усвояване по кредит тип „Кредитна линия“; Договор № 3-1-12051-220734 от 28.02.2020 г. за потребителски кредит тип „Кредитна линия“; Погасителен план към Кредит № ********* към Договор за кредитна линия № № 3-1-12051-220734 и Общи условия на „Кеш кредит мобайл“ ЕАД към договор за потребителски кредит тип „Кредитна линия“.

След получаване на писмото на същия ден упълномощеният представител на жалбоподателя е изпратил до ответната страна електронно съобщение с искане да му бъде предоставен и договора за обезпечение, като се е позовал на чл. 1, ал. 4, т. 4 от договора за потребителски кредит.

Отново на 22.04.2025 г. от „Кеш кредит мобайл“ ЕАД му е отговорено, че не може да му бъде предоставено копие от поискания договор, тъй като дружеството не било страна по него и не разполагало със същия, и му е препоръчано да се обърне към страната, с която е сключен.

В тази връзка адв. Т. Ц. от САК е изпратил по електронен път до „Кеш кредит мобайл“ ЕАД писмо с въпроси: „Как одобрявате кредит, ако нямате екземпляр от договора за обезпечението? С коя страна е сключен договорът за обезпечението?“, като по делото няма данни дружеството да е отговорило на същите.

Видно от Писмо изх. № ППН-01-779#1/03.06.2025 г. от Председателя на Комисията за защита на личните данни (КЗЛД) във връзка със служебно изисканата информация на основание чл. 39, ал. 4 ЗЗЛД, след направена справка на 03.06.2025 г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от С. М. М. срещу „Кеш кредит мобайл“ ЕАД.

По делото е представено и пълномощно от „Кеш кредит мобайл“ ЕАД на назначения в дружеството юрисконсулт Х. И. Г., от което е видно с какви права е упълномощен същият.

При така установената фактическа обстановка и като извърши на основание чл. 168, ал. 1 АПК проверка за законосъобразността на оспорения акт на всички основания по чл. 146 АПК, съдът достигна до следните правни изводи:

Жалбата е подадена от надлежнo легитимирано лице, имащо правен интерес от оспорването, в законоустановения срок за това и срещу годен за обжалване акт, поради което е процесуално допустима. На следващо място, тя е редовна, тъй като отговаря на изискванията на чл. 150 и чл. 151 АПК.

В тази връзка е уместно изрично да се уточни, че съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. Няма спор между страните по делото, а и от представените от тях писмени доказателства се установява, че между „Кеш кредит мобайл“ ЕАД и С. М. М. е налице облигационно правоотношение по силата на сключен Договор № 3-1-12051-220734 от 28.02.2020 г. за потребителски кредит тип „Кредитна линия“, като жалбоподателят е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламента, а „Кеш кредит мобайл“ ЕАД попада в хипотезата на определението по член 4, параграф 7 от Регламента, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. На следващо място не се спори, а и от Писмо изх. № ППН-01-779#1/03.06.2025 г. от Председателя на КЗЛД се установява, че няма висящо производство пред комисията със същия спор между страните или нейно решение относно същото нарушение да е обжалвано и няма влязло в сила решение на съда. Следва да се посочи и че Писмо изх. № 56/22.04.2025 г. по съществото си действително представлява частичен отказ за упражняване на право по подаденото на 22.04.2025 г. заявление, тъй като не го удовлетворява изцяло, респективно за С. М. М. продължава да е налице правен интерес от оспорването. Накрая, същото се приема, че е направено в срок, тъй като жалбата е подадена на 07.05.2025 г., а атакуваният отказ не съдържа указание пред кой орган и в какъв срок може да бъде обжалван, поради което в случая намира приложение разпоредбата на чл. 140, ал. 1 АПК.

Разгледана по същество, жалбата се явява основателна.

На първо място, съдът не споделя изложените в молба от 04.09.2025 г. доводи на жалбоподателя за нищожност на оспорения отказ. Както се посочи по-горе, администратор на лични данни е „Кеш кредит мобайл“ ЕАД, а не неговият законен представител, като жалбата на С. М. М. е именно срещу отказа на администратора на лични данни, а не срещу индивидуален административен акт на административен орган. В жалбата също липсват твърдения, че процесното писмо представлява индивидуален административен акт, подлежащ на оспорване по реда на чл. 145 и сл. от АПК. Вярно е, че разпоредбата на чл. 39, ал. 1 ЗЗЛД препраща към АПК, но това не означава, че отказът на администратор на лични данни има характер на индивидуален административен акт. В този смисъл са Решение № 1856 от 25.02.2025 г. по адм. д. № 949/2023 г. на ВАС, V о. и Решение № 11932 от 6.11.2024 г. по адм. д. № 4817/2024 г. на ВАС, V о. От друга страна следва да се съобрази чл. 301 ТЗ, съгласно който, когато едно лице действа от името на търговец без представителна власт, се смята, че търговецът потвърждава действията, ако не се противопостави веднага след узнаването, като в случая не се твърди и не се установява такова противопоставяне, а от представената електронна кореспонденция е видно, че търговското дружество е знаело за писмото, подписано от юрисконсулт Х. И.. Ето защо следва да се приеме, че не е налице поддържаното от жалбоподателя основание за прогласяване нищожността на оспорения отказ.

На следващо място няма спор между страните, а и при извършената служебна проверка се установява, че обжалваният акт е обективиран в законоустановената писмена форма, като при издаването му не са допуснати съществени нарушения на процесуалните правила.

Според настоящия съдебен състав оспорения отказ обаче не е в съответствие с материалния закон.

Съображенията за това са следните:

Според член 4, параграф 1 от Регламента, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

Съгласно чл. 4, параграф 2 от Регламента, „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

В член 15, параграф 1 от Регламента е предвидено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, а в параграф 3 от същия регламент е посочено и че администраторът предоставя копие от личните данни, които са в процес на обработване.

В член 5, параграф 1 от Регламента са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са уредени принципите на законосъобразност, добросъвестност и прозрачност.

Съгласно чл. 37б, ал. 1 ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като в чл. 37в, ал. 1 и ал. 2 от с.з са регламентирани неговите съдържание и приложения.

В настоящия случай безспорно се установява, че жалбоподателят е депозирал по електронен път писмено заявление по чл. 37б ЗЗЛД до администратора на лични данни „Кеш кредит мобайл“ ЕАД при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл. 37в ЗЗЛД. При това положение и с оглед цитираните по-горе разпоредби, администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт е видно, че изисканата информация не е била получена в пълен обем от оспорващия. В този ред на мисли съдът намира, че отказът на ответника да удовлетвори напълно искането е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. „а“ от Регламента. Следва да се има предвид, че предоставените от разпоредбите на регламента права на субекта на данни произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за потребителски кредит, и именно този договор се явява носител на информация за обработваните лични данни по смисъла на член 15 параграф 1 от Регламента. Ето защо настоящата инстанция приема, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламента. В подкрепа на този извод са и разпоредбите на член 12 от Регламента, като според параграф 1 на същия, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а в параграф 2 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“ От друга страна, съгласно практиката на СЕС (Решение по дело C-369/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни. Следователно, с отказа на администратора на лични данни да предостави на оспорващия копие от съпътстващите сключения между тях договор за кредит документи, а именно договор за обезпечение и платежни нареждания за извършените плащания на практика той е бил възпрепятстван да упражни правата, които му предоставя и Регламента в пълната и желана от него степен. Така, лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламента. В тази връзка е уместно да се посочи, че от „Кеш кредит мобайл“ ЕАД не се оспорва, а и от разпоредбите на чл. 1, ал. 2 и ал. 4, т. 4 от Договор № 3-1-12051-220734 от 28.02.2020 г. за потребителски кредит тип „Кредитна линия“ следва, че действително С. М. М. е сключил и договор за обезпечение, копие от който логично следва да е налично и при кредитодателя. Освен това доводите, свързани с невъзможността да бъде предоставен този договор са ирелевантни за настоящия правен спор и не следва да бъдат обсъждани. По отношение на платежните нареждания следва да се отбележи, че със заявлението си жалбоподателят е поискал копие от всички документи от кредитното си досие, които съдържат негови лични данни, а съгласно чл. 3, ал. 1 от договора за потребителски кредит заплащането на дължими суми от кредитополучателя по договора се извършва по банков път по сметка в Райфайзен банк, в търговски обекти на дистрибутора или чрез други, изрично посочени на сайта на кредитодателя, начини.

Както се посочи по-горе, непредоставянето на копия от договора за обезпечение и платежни нареждания, свързани с договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение и на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Дори и копия от тези документи да са на разположение на жалбоподателя, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламента във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения. В този смисъл ответникът го е лишил и от „правото на защита на личните данни“, което му се предоставя и с чл. 8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламента. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по член 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

В тази насока е и константната практика на касационната инстанция по идентични казуси – Решение № 7180 от 26.06.2025 г. по адм. д. № 10796/2024 г., Решение № 7173 от 26.06.2025 г. по адм. д. № 2067/2025 г., Решение № 4856 от 12.05.2025 г. по адм. д. № 1911/2025 г., Решение № 1159 от 11.02.2025 г. по адм. д. № 9474/2024 г., Решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., Решение № 2763 от 18.03.2025 г. по адм. д № 11251/2024 г., всички по описа на ВАС.

По изложените съображения съдът счита, че жалбата на С. М. М. е основателна, респ. оспореният от него отказ е незаконосъобразен, поради което следва да бъде отменен.

Доколкото естеството на акта не позволява решаването на въпроса по същество, преписката следва да бъде изпратена на ответника за ново произнасяне по искането на жалбоподателя, при съобразяване с дадените по-горе указания по тълкуването и прилагането на закона.

С оглед изхода на спора и че жалбоподателят е направил изрично и своевременно искане за разноски, на основание чл. 143, ал. 1 АПК единствено в полза на същия следва да се присъдят такива в размер на 10,00 лв. за внесената държавна такса. Тъй като от представения по делото Договор за правна защита и съдействие е видно, че му е оказана безплатна адвокатска помощ, искането на неговия процесуален представител по чл. 38, ал. 2 ЗАдв се явява основателно. Тук е уместно да се отбележи, че съгласно задължителното Решение от 25.01.2024 г. по дело С-438/22 на СЕС, наредба, която определя минималните размери на адвокатските възнаграждения и на която е придаден задължителен характер с национална правна уредба, противоречи на член 101, параграф 1 ДФЕС и националният съд е длъжен да откаже да приложи тази национална правна уредба по отношение на страната, осъдена да заплати съдебните разноски за адвокатско възнаграждение, включително и когато предвидените в тази наредба минимални размери отразяват реалните пазарни цени на адвокатските услуги. Следователно, определените с Наредба № 1/09.07.2004 г. минималните размери на адвокатските възнаграждение не следва да бъдат прилагани от съда в настоящия случай. При това положение и като съобрази както разпоредбата на чл. 36, ал. 2, изр. 2 ЗАдв, според която размерът на възнаграждението на адвоката трябва да е справедлив и обоснован, така и въведените в съдебната практика критерии при определянето му като: вида на спора, материалния му интерес, вида и количеството на извършената работа и преди всичко фактическата и правна сложност на делото, съдът счита, че в полза на адв. Т. Ц. от САК следва да се присъди адвокатско възнаграждение в размер на 900 лв.

Мотивиран от горното и на основание чл. 172, ал. 2 и чл. 173, ал. 2 АПК, съдът

 

РЕШИ:

 

ОТМЕНЯ Отказ на „Кеш кредит мобайл“ ЕАД, [ЕИК], седалище и адрес на управление: [населено място], р-н И., [жк], [улица], вх. *, ет. *, обективиран в Писмо изх. № 56/22.04.2025 г., по заявление за упражняване на право на достъп до лични данни съгласно по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година от С. М. М., [ЕГН], адрес: [населено място], [община], обл. Х., чрез адвокат Т. Ц. от ***, от 22.04.2025 г.

ИЗПРАЩА преписката на „Кеш кредит мобайл“ ЕАД, [ЕИК], седалище и адрес на управление: [населено място], р-н И., [жк], [улица], вх. * ет. * за ново произнасяне по заявление за упражняване на право на достъп до лични данни съгласно по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година от С. М. М., [ЕГН], адрес: [населено място], [община], обл. Х., чрез адвокат Т. Ц. от ***, от 22.04.2025 г., съобразно задължителните указания по тълкуването и прилагането на закона, дадени в мотивите на настоящото решение.

ОСЪЖДА „Кеш кредит мобайл“ ЕАД, [ЕИК], седалище и адрес на управление: [населено място], р-н И., [жк], [улица], вх. *, ет. * да заплати на С. М. М., [ЕГН], адрес: [населено място], [община], обл. Х., сумата от 10,00 лева, представляваща направени разноски по делото.

ОСЪЖДА „Кеш кредит мобайл“ ЕАД, [ЕИК], седалище и адрес на управление: [населено място], р-н И., [жк], [улица], вх. *, ет.*, да заплати на адвокат Т. Ц. Ц. от *** сумата от 900,00 лева, представляваща дължимо адвокатско възнаграждение за оказана безплатна адвокатска помощ по делото.

Решението подлежи на касационно обжалване пред Върховния административен съд на Република България в 14-дневен срок от съобщаването му на страните.