Решение № 7329 от 30.06.2026 г. на ВАС по адм. д. № 1739/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на „Сити Кеш“ ООД срещу решение № 11487 от 18.12.2025 г. по адм. дело № 2137/2025 г. на Административен съд – Пловдив. С обжалваното решение АС – Пловдив е отменил отказа на „Сити Кеш“ ООД, обективиран в писмо от 12.09.2025 г., да бъдат предоставени на М. Б. Б. копия от всички носители на лични данни и информация за извършени плащания, които са обработени в периода 12.08.2020 г. до 12.08.2025 г. и е върнал преписката на „Сити Кеш“ ООД за ново разглеждане в едномесечен срок от влизане в сила на съдебното решение. Касационният жалбоподател, чрез процесуалния си представител, поддържа, че обжалваното решение е неправилно поради постановяването му при съществени нарушения на процесуалните правила, в противоречие с материалния закон и е необосновано. Прави оплаквания, че съдът е задължил дружеството да предостави „всички документи“ без да изисква тяхната индивидуализация от субекта на данни или сам да ги определи в решението си, което е в противоречие с решение на СЕС по дело С-487/21. Сочи че съдът е пропуснал да прецени дали заявителят е доказал необходимост от предоставяне на документи и прецени налице ли е такава. Излага доводи, че съдът неправилно е възприел като стандарт задължителното предоставяне на пълни документи и не е обсъдил дали предоставената информация у достатъчна за целите на член 15 от Регламент (ЕС) 679/2016. При тези съображения, изложени в касационната жалба иска да се отмени обжалваното решение и се потвърди законосъобразността на издадения отговор от администратора на лични данни. Претендира присъждане на разноски по делото. Ответникът по касационната жалба М. Б. Б. не е представила писмен отговор по делото. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страната, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: Производството пред административния съд е образувано по жалба на М. Б. Б. срещу изричния частичен отказ на „Сити Кеш“ ООД, в качеството на администратор на лични данни, да изпълни заявеното от нея на 12.08.2025 г. искане да й се предостави копие на всички носители на личните й данни. Съдът е установил от фактическа страна, че на 12.08.2025 г. М. Б. е подала заявление до „Сити Кеш“ ООД, в качеството на администратор на лични данни да й предостави информация за обработваните нейни лични данни, с каква цели и да предостави копие на всички носители на лични данни – договори, всички приложения и анекси към тях, стандартни европейски формуляри и други, които са обработени в периода 12.08.2020 – 12.08.2025 г., както и да й се предостави информация за всички плащания, направени по тези договори, от които да е видно какви суми и на кои дати са постъпили, към кои договори са относими, както и за погасяване на кои компоненти от съответния договор е използвал кредиторът, за да добие представа за начина и целите на обработване на личните й данни. На 12.09.2025 г. до М. Б. е изпратен отговор, с който й е предоставена информация за категориите и целите на обработка на нейни лични данни, получателите и срок за съхранение на същите, както и е уведомена за правата й по Регламент (ЕС) 679/2016. Във връзка със заявеното искане на основание чл. 15 от Регламента за предоставяне на копие на всички носители на лични данни, визирани в заявлението й, е посочено, че с отговора е получила копие от обработваните лични данни, като в допълнение е изпратена непроменена извадка от договор за потребителски кредит, по който е страна и в който се съдържат нейни лични данни. Относно предоставянето на копия от всички документи е заявено, че съгласно чл. 15 от Регламента администраторът не е задължен да предостави пълно копие от документа, в частта, в която не се съдържат лични данни, а по отношение на стандартния европейски формуляр е посочено, че не съдържа лични данни и е извън обхвата на чл. 15 и чл. 20 от Регламента. Отговорът е подписан от П. Л. – длъжностно лице по защита на данните. При тези фактически обстоятелства, съдът е приел от правна страна, че за ответното дружество, в качеството на администратор на лични данни, съществува нормативно установено задължение да се произнесе по искането на жалбоподателя и съгласно чл. 15 – 20 ОРЗД е следвало да предостави исканата информация. Посочил е, че действително копието налични данни не би следвало винаги да се отъждествява с копие на документа, в който се съдържат тези данни. В тази връзка съдът е обсъдил правата на субекта на данни на плоскостта на Регламент (ЕС) 679/2016 и решение на СЕС по дело С-307/22 и е приел, че администраторът на данни следва да предостави на субекта на данни копие от документите, съдържащи личните му данни. Така мотивиран е постановил обжалвания резултат. Решението е валидно и допустимо, но е постановено при допуснати съществени нарушения на процесуалния закон, довели до неправилно приложение на материалния закон. Съдът е сезиран с жалба срещу отказ на администратора на лични данни да предостави носителите на лични данни на заявителя и е конституирал „Сити Кеш“ ООД като ответна страна в процеса. Съдът правилно е приел, че "Сити Кеш" ООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 и сл. ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Сити Кеш" ООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В тази връзка съдът изобщо не се е занимал с въпроса за компетентността на длъжностното лице по защита на данните и възможността да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. От визираните разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на подписалия акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционният съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,