Решение № 8952 от 18.09.2026 г. на ВАС по адм. д. № 2125/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на "Кредирект" ЕООД гр.София, чрез процесуалния си представител-юрк.Вълканов, срещу решение №11542 от 30.12.2025 г. по адм. дело № 1792/2025 г. на Административен съд - Бургас. В касационната жалба са изложени доводи за постановяване на решението при допуснати съществени нарушения на процесуалните правила, в противоречие с материалния закон и необоснованост - касационни основания по чл. 209, т. 3 АПК за отмяната му. Поддържа се, че съдът не е отчел, че искането в жалбата не съответства на първоначалното заявление на субекта на данни и е постановил решението си по незаявено искане пред администратора, в нарушение на процесуалните правила. Счита се, че съдът не е обсъдил доводите и възраженията на администратора на лични данни и не е дал правна оценка дали обжалваният отговор е законосъобразен или не. При тези съображения, развити подробно в касационната жалба, иска да се отмени обжалваното решение и се реши спорът по същество като се отхвърли първоначалната жалба. Претендира се присъждане на разноски за двете инстанции. Ответникът по касационната жалба - Д. С. М., чрез пълномощника си-адв. Русинов, представя писмен отговор, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му, поради което иска да се остави в сила. Претендира присъждане на разноски за касационното производство. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подаден в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: С обжалваното решение АС -Бургас е отменил отказ от 13.09.2025г. на "Кредирект" ЕООД за предоставяне на копие от договор за кредит и всички съпътстващи договора документи, съдържащи лични данни на Д. С. М., по заявление от 15.08.2025г. и е върнал преписката на администратора на лични данни за ново произнасяне, при спазване на дадените задължителни указания по тълкуване и прилагане на закона. За да постанови обжалвания резултат съдът е приел от фактическа и правна страна следното: На 15.08.2025 г. Д. М., чрез адвокат Русинов е подала по електронен път до "Кредирект" ЕООД искане, подписано с електронен подпис, с което на основание чл. 15 от Регламент (ЕС) 2016/679 е поискала от дружеството, в качеството му на администратор на лични данни да предостави информация относно обработените от дружеството нейни лични данни, както и да предостави копие от договор за кредит № 1027784 ,по силата на който дружеството и е предоставило заем, ведно с всички съпътстващи договора документи. На 13.09.2025 г., е получено писмо по електронен път – отговор на длъжностно лице по защита на данните в "Кредирект" ЕООД. С писмото се потвърждава, че дружеството обработва личните данни на Д. М., като са предоставили обща такава за видовете данни, които са обработвани от дружеството и уверение, че личните му данни са обработвани правомерно. При тези фактически обстоятелства, съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Кредирект" ЕООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в договора за кредит, в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Кредирект" EООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Кредирект" EООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В този контекст съдът изобщо не се е занимал с въпроса за компетентността на длъжностното лице по защита на данните да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. От визираните разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на издателя на акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционния съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,