Решение № 10030 от 13.10.2026 г. на ВАС по адм. д. № 2984/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от „Неткредит“ ООД, гр. София, чрез процесуален представител, срещу решение № 1937/15.12.2025 г., постановено по адм. дело № 241/2024 на Административен съд /АС/ – Ловеч, с което е отменен изричен отказ на дружеството, обективиран в електронно писмо от 07.05.2024 г., да предостави на Л. П. М. копия на всички носители на личните му данни – договорите за заем, искания за кредит, както и на информация за извършените плащания по сключените между страните договори, въз основа на които се извършва тяхното обработване от „Неткредит“ ООД, в качеството му на администратор на лични данни и преписката е върната за ново произнасяне по искането при съобразяване с дадените с решението указания по тълкуване и прилагане на закона. Касационният жалбоподател твърди, че решението е недопустимо. Счита същото за неправилно. Иска да бъде обезсилено като недопустимо или отменено като неправилно и незаконосъобразно. С касационната жалба е направено искане за спиране на настоящото производство във връзка с образувано пред Съда на Европейския съюз (СЕС) дело С-676/2025 г. Ответникът по касационната жалба – Л. П. М. не излага становище по нея. Прокурорът от Върховна касационна прокуратура изразява становище за допустимост, но неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. Настоящият съдебен състав намира за неоснователно направеното в хода на касационното производство искане за спиране на същото. Предмет на първоинстанционното производство е акт на администратор на лични данни, постановен по искане на субект на лични данни по реда на чл. 15 от ОРЗД, като по делото няма данни отношенията на страните по делото да са приключени. В тази връзка следва да се посочи, че образуваното пред СЕС дело № С-676/2025 г. е по отправено запитване от АС - Варна с поставени общо пет въпроса, които обаче касаят права на субекта на данни при изцяло приключени договорни отношения с администратора и ограничена обработка на лични данни, при което настоящият състав намира, че в случая не са налице предпоставките по чл. 154а, ал. 1, т. 8 АПК - поставените въпроси пред СЕС по посоченото дело не обуславят изхода по спора. За да постанови обжалваното решение, административният съд е приел, че не е удовлетворено искането на субекта на данни по чл. 15, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /ОРЗД; Регламента/. АС – Ловеч е посочил, че като администратор на лични данни, дружеството е длъжно да предостави копие от личните данни на М., които са в процес на обработване, което предвид решение на СЕС от 04 май 2023 г. по дело С-487/2021 г., т. 21 са копия от извлечения от документи или цели документи, за да може субектът на данните да упражни ефективно предоставените му с ОРЗД права, като се вземат предвид правата и свободите на други лица. С оглед тези съображения, първоинстанционният съд е отменил оспорения пред него отказ като незаконосъобразен и е върнал преписката на „Неткредит“ ООД, гр. София за ново произнасяне по направеното искане при съобразяване с дадените указания по тълкуването и прилагането на закона. Решението е валидно, допустимо и правилно. Неоснователни са наведените доводи за липса на отказ в конкретния случай, във връзка с твърденията за недопустимост на обжалваното решение. С писмото от 07.05.2024 г. дружеството се е произнесло по искането, като е предоставило единствено извлечение от регистрите си, без копия от поисканите документи – носители на лични данни. Така обективираното волеизявление представлява изричен отказ по заявлението по чл. 37б, ал. 1 ЗЗЛД, който подлежи на съдебен контрол по реда на чл. 39, ал. 1 ЗЗЛД, а пред КЗЛД не е налице висящо или приключило производство по същия спор, поради което правилно АС – Ловеч е приел оспорването за допустимо. Настоящият съдебен състав споделя приетото от АС – Ловеч, а именно, че липсата на представени от администратора копия на всички документи, съдържащи лични данни на субекта на данни, отправил искането, е в нарушение на чл. 15, § 3 ОРЗД. В конкретния случай ответникът по касация е сезирал дружеството с искане по чл. 15 от Регламента, като е поискал предоставянето на конкретна документация, включваща копия на всички носители на личните му данни в това число договори за заем, искания за кредит, както и на информация за извършените плащания по сключените между страните договори. С оспорения пред административния съд отказ, конкретни копия на описаните по горе документи не са предоставени, като е посочен в какъв обем данни са обработваните от администратора такива, както и целите и сроковете, за които се обработват. Следва да се отбележи, че съгласно чл. 15, § 1 от Регламента, субектът на данните има право да получи достъп до тях, като § 3 от същия член изрично регламентира, че администраторът предоставя копие от личните данни, които са в процес на обработване, като видно от легалната дефиниция на чл. 4, § 2 ОРЗД обработването включва и съхранението на лични данни, поради което задължението се разпростира до всички документи, съхранявани от администратора, в които се съдържат лични данни на М.. Ето защо, като не е предоставило достъп до изрично поисканата документация, дружеството не е удовлетворило така отправеното до него искане в неговата цялост, както правилно е приел първоинстанционният съд. Тълкуване на чл. 15, § 3, изр. първо от Регламента е дадено с Решение на СЕС от 4 май 2023 г. по дело С-487/2021 г., като е прието, че цитираната норма трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие освен от извлечения от документи също и на цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. В тази връзка следва да се отбележи, че лични данни е и всяка икономическа информация за физическото лице, която в случая се съдържа именно в договорите за кредит, погасителните планове и документите, подписани във връзка със сключването и изпълнението им, като достъпът до тази информация на субектът на данни се осъществява именно с регламентираното му право на получаване на копие от документите, в които тя се съдържа. В тази връзка и в съответствие с решението на СЕС, административният съд точно е посочил, че с оглед принципите на прозрачност е необходимо администраторът на лични данни да предостави копие на документите, носители на лични данни на заявителя, за да има възможност последният ефективно да упражни правата си и провери дали свързаните с него данни са точни и се обработват законосъобразно. Следва да се посочи, че ограниченията за предоставяне на достъп до лични данни са посочени в чл. 23 ОРЗД. Доколкото в случая не се изтъкват доводи за национална сигурност, отбрана, обществена сигурност и останалите ограничения в чл. 23, § 1, букви „а“ – „з“ и „й“ ОРЗД, администраторът следва да съобрази единствено ограничението по чл. 23, § 1, буква „и“, предложение второ - а именно правата и свободите на трети лица и в частност да не предоставя достъп до личните данни на трети физически лица, ако се съдържат в исканите документи. Решението като правилно следва да бъде оставено в сила. Воден от горното и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение