Решение № 3567 от 30.03.2026 г. на ВАС по адм. д. № 837/2026 г.

Производството е по чл.208 и сл. от АПК. Образувано е по касационната жалба на "Кредирект" ООД гр. София против решение №10835/ 2.12.2025 г. по адм.д.№ 1752/ 2025 г. по описа на Административен съд-Пловдив. Иска отмяна на решението и отхвърляне на жалбата. Твърди, че решението е неправилно. Налице е несъответствие между искането в заявлението и искането в първоначалната жалба до съда, като в жалбата до съда за първи път са конкретизирани копията от документи, които физическото лице иска. Съдът не е обсъдил защитната теза за кумулативно заявяване на права по чл.15 и чл.20 от Регламент 2016/ 679. Ответната страна С. А. М. оспорва касационната жалба.Твърди, че заявлението е било точно и ясно и сочещо за упражняване на право по чл.15, пар.3 от Регламент 2016/679. Не е искала преносимост. Твърди, че не разполага с екземпляри от кредитното си досие, е поискала копие от него. Не е длъжна да посочва цел. Върховният административен съд, състав на пето отд., като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е основателна по следните съображения: Администраторът на лични данни е сезиран със заявление от С. А. М., с което е заявила, че упражнява право на достъп до лични данни по чл.15 от Регламент 2016/679 и е поискала да й предоставен достъп до всички лични данни, които "Кредирект" ООД обработва, като й предостави копия от всички документи, в които се съдържат личните й данни, от кредитното досие, а исканата информация и документите да бъдат изпратени на електронната й поща. По така подаденото заявление администраторът на лични данни е изготвил отговор. Посочил, че същият обработва идентификационна информация- имена, ЕГН, гражданство, документ за самоличност, място и дата на издаване, които са от документа за самоличност. Освен това обработва информация за контакт като постоянен и настоящ адрес, имейл адрес, телефонен номер. Информацията е конкретизирана в детайли. Посочено е, че се обработва финансова информация на субекта на лични данни - проверка на осигурителни доходи в НОИ, проверка на кредитна задлъжнялост в ЦКР, информация свързана с продукти и услуги, които администраторът на лични данни предоставя. Целта на обработване е сключване и изпълнение на договор за предлаганите продукти и/или услуги въз основа на искане от субекта на лични данни, както и предоставяне на продукти и управление на договори, по които лицето е страна. Изрично като правно основание е посочен чл. 6, пар.1, б. "в", б. "е" от Регламента 2016/679, Закон за потребителския кредит, Закон за мерките против изпиране на пари, Наредба №22 на БНБ за ЦКР. Посочени са категорията получатели и срока за съхранение - минимум 5 години. В случай, че заявителката иска предоставяне на носител на конкретен документ, следва да посочи информация за основанията за предоставяне на съответния документ. Дадени са и други указания за упражняване на правата по регламента. Изпратено е копие извадка от договор за потребителски кредит с имена, ЕГН, клиентски номер, постоянен и настоящ адреси, е-майл, телефони, лична карта, като е посочено, че останалата част от договора не съдържа лични данни. От така предоставения отговор е останала недоволна С. А. М., която оспорва с жалба до административния съд отказ да й бъде предоставено копие от всички документи от кредитното досие по чл. 15, пар. 3 от ОРЗД, в които се съдържат личните й данни. В жалбата до съда за първи път е направено конкретизиране на исканите документи- договор за кредит, общи условия, платежни нареждания и договор за поръчителство /ако има такъв/. Наведен е довод, че жалбоподателката има подозрение за изплатени суми повече от уговореното по договор за кредит. С решение по адм.д.№ 1752/2025 г. по описа на АС-Пловдив жалбата е уважена. Прието е, че има отказ за предоставяне на копие от сключен договор за потребителски кредит и други документи, съдържащи лични данни, което преграждало правото на жалбоподателката да упражни права по чл.15 от Регламент 2016/679. Решението е неправилно и следва да бъде отменено. Правото на достъп на субектите на данни е част от европейската правна рамка за защита на данните, предвид чл. 8 от Хартата на основните права на Европейския съюз и чл.15 от ОРЗД. Правото на достъп включва три компонента:1. потвърждение дали се обработват данни, свързани с лицето, 2.достъп до тези данни и 3. информация за обработването като цел, категория данни и получатели, продължителност на обработването, права на субектите на данни. Субектът на данни не е задължен да посочва причини за искането за достъп и администраторът не може да анализира дали искането действително ще помогне на лицето да провери законосъобразността на съответното обработване. Съгласно Насоки 01/2022 г.от 28.03.2023 г. на Европейския комитет по защита на данните относно правата на субектите на данни - право на достъп, освен ако изрично е посочено друго, искането следва да се разбира като отнасящо се до всички лични данни относно субекта на данни, като администраторът може да поиска конкретизация на искането, ако обработва засяга голямо количество данни. В случая такова конкретизиране не е искано, като администраторът на лични данни е преценил, че обемът от лични данни, които обработва не е голям. По делото няма спор за обема на личните данни, достъп до които е предоставен. Основно условие за осигуряване на достъп е предоставяне на копие от личните данни, които са в процес на обработване, в траен формат и това има отношение към втория компонент на правото на достъп. Проблемът по делото е какво представлява копие от лични данни по смисъла на чл.15, пар. 3 от Регламент 2016/679 /ОРЗД/. Съгласно т. 32 от решение на СЕС по С-487/21 разпоредбата на чл.15 от ОРЗД няма как да се тълкува в смисъл, че пар.3, първо изречение от него предвижда право, отделно от това по пар.1. Терминът "копие" се отнася не до документа като такъв, а до личните данни, които той съдържа и те трябва да са пълни. Администраторът на лични данни е длъжен да предприеме подходящи мерки, за да предостави на субекта на данните цялата информация в кратка, прозрачна, разбираема и лесно достъпна форма на ясен и прост език, предвид чл.12, пар.1 от ОРЗД. За да е лесна за разбиране предоставената информация, СЕС посочва в т.41 от същото решение, че възпроизвеждането на извлечения от документи и възпроизвеждане на цели документи или на извлечения от бази данни, може да се окаже задължително, ако това е необходимо, за да се гарантира тяхната разбираемост. Разпоредбата на чл.15, пар. 3 не се разбира като допълнително право на субекта на лични данни, а само като способ за предоставянето на лични данни. Задължението за предоставяне на копие служи за упражняването на правото на достъп и цели да се позволи на субекта на лични данни да бъде запознат и да провери законосъобразността на обработването. Понятието "копие" се тълкува в широк смисъл и включва различни видове достъп, като информацията се предоставя в присъща, постоянна форма- текстова, електронна, стига субектът на лични данни да може да запази цялата информация и да се върне към нея. Съгласно решение на СЕС по дело С-487/21 правото да се получи от администратора копие на личните данни по чл.15, пар.3 от ОРЗД, които се обработват, означава, че на субекта на данни трябва да се предостави вярно и разбираемо възпроизвеждане /реплика/ на всички тези данни. Няма задължение администраторът на лични данни да предоставя документи, в които се съдържат лични данни в първоначалната им форма. При спазване на принципа за прозрачност администраторът може да предостави достъп до копие на носителя. В чл.15, пар.3 от ОРЗД е регламентирана възможността правото на достъп да бъде реализирано чрез получаване на непроменено копие от обработваните лични данни, което не означава непременно и винаги копие от самите документи, съдържащи лични данни. Нито в ОРЗД, нито в решенията на СЕС и цитираните Насоки, има уредено задължение администраторът на лични данни задължително при сезиране с искане за достъп до лични данни по чл.15 да предоставя ксерокс копие от документите в техния пълен обем като например договори, общи условия, погасителни планове, кореспонденция с трети лица и т.н. Видно от цялата защитна теза на С. М., същата иска именно такива ксерокс-копия от цялото кредитно досие. Принципно трябва да се прави разлика между правото на достъп по чл.15 от ОРЗД и правото на получване на копие от действителните документи, регламентирано по националното право. Информация за погасителните планове към договор за кредит, извлечения за извършени плащания, се предоставят по реда на чл. 11, ал. 3 от Закона за потребителския кредит. Няма данни за за извършена цесия, нито за обезпечения. Общите условия на кредитора за кандидатстване за кредити не съдържат лични данни на заявителя и са достъпни на електронната страница на "Кредирект" ЕООД, поради което също не попадат под уредбата на ОРЗД. В случая с писмото отговор е предоставено освен пълно извлечение от обработваните лични данни, но и ксерокс- копие на част от договора за потребителски кредит с чл. 2, в текста на който са посочени всички лични данни на субекта на данни, които касатора обработва. В отговора на "Кредирект" ЕООД подробно са описани категориите лични данни, които се обработват, основанието, категориите получатели, срокът за съхранение, правата на физическото лице, начините за защита. Следователно исканата информация е получена в писмена форма, т.е. в траен формат, предоставлява документ съдържащ извлечение от всички лични данни, обхванати от правото на достъп, като по този начин субектът на лични данни е информиран и той може да провери законосъобразността на обработването. В заявлението изрично е посочено, че исканата информация и документи следва да бъдат предоставени на електронна поща, което е изпълнено. По настоящото дело физическото лице по същество иска ксерокс- копия от всички документи, които са в кредитното досие като договори за кредит, общи условия, платежни нареждания и др., имащи отношение към изпълнението на договорни задължения. В жалбата до първоинстанционния съд жалбоподателката е уточнила, че иска копия от документи от кредитното досие, което не е идентично с правото на достъп до лични данни по чл.15 от ОРЗД. Допълнително в писмената защита С. М. е посочила, че иска копия от погасителни планове и декларации. Пред съда С. А. М. посочва съмненията си, че е изплатила по договора за кредит суми повече от договорените, което обаче не попада в обхвата на ОРЗД. Точното изпълнение на договорни задължения по договорни правоотношения не е предмет на регулиране с ОРЗД. С отговора на администратора на лични данни е представено извлечение (реплика) от обработваните лични данни в документите. Непредоставянето на копия от всички документи в кредитното досие, описани пред първоинстанционния съд, не представлява отказ за предоставяне на достъп по чл.15, пар.1 и пар.3 от ОРЗД, предвид цитираното решение по С-487/21. Като е уважил жалбата и отменил отказ съдът е постановил необосновано и материално незаконосъобразно съдебно решение. Предвид изложеното е налице основание за отмяна на решението като неправилно, а по същество следва да се отхвърли жалбата на С. А. М. като неоснователна. С касационната жалба се претендират направени по делото разноски за две съдебни инстанции- държавна такса 370 лв., и юрисконсултско възнаграждение. На основание чл. 78, ал.8 ГПК вр. с чл. 37 от ЗПП и чл.24 от Наредбата за заплащането на правната помощ ответникът по касационната жалба следва да бъде осъден да заплати юрисконсултско възнаграждение за две съдебни инстанции общо в размер на 600 лв., което представлява 306, 77 евро, както и 370 лв. държавна такса за касационно производство, което е 189, 17 евро. На онование чл.221, ал.2 от АПК Върховният административен съд, състав на Пето отд.