Решение № 5061 от 11.05.2026 г. на ВАС по адм. д. № 932/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационната жалба на „Сити Кеш“ ООД против решение № 10175 от 17.11.2025 г., постановено по адм. дело № 1586/2025 г. по описа на Административен съд – Пловдив (АС - Пловдив). Касаторът обжалва съдебното решение с доводи за неправилност, като постановено в нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни основания за отмяна по смисъла на чл. 209, т. 3 АПК. Иска обжалваното решение да се отмени и вместо него да бъде постановено друго по същество на спора, с което да се „потвърди“ издадения отговор на администратора на лични данни. Подробни съображения в подкрепа на твърденията и исканията са изложени в касационната жалба. Претендира разноски за двете съдебни инстанции. Ответникът Ц. С. оспорва касационната жалба по съображения в писмен отговор. Иска оспореното решение да бъде оставено в сила. Претендира разноски. Представителят на Върховната касационна прокуратура дава заключение за наличие на основанията за спиране на производството по делото до произнасяне на Съда на Европейския съюз по дело C-676/25, алтернативно за неоснователност на касационната жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество е основателна по следните съображения: С обжалваното съдебно решение № 10175 от 17.11.2025 г., постановено по адм. дело № 1586/2025 г. по описа на АС – Пловдив по жалба на Ц. С. е отменен изричен отказ на дружеството „Сити Кеш“ ООД с изх. № 000241 от 15.07.2025 г. да предостави информация за обработваните лични данни на С., ведно с копие на носителите на тези лични данни – договори за кредит, в които се съдържат лични данни на лицето, задължено е „Сити Кеш“ ООД в едномесечен срок от влизане в сила на съдебното решение да предостави на субекта на данни документи - договори за кредит, носители на нейните лични данни, и са присъдени разноски. От фактическа страна първоинстанционният съд е установил, че на 16.06.2025 г. Ц. С. е подала писмено заявление, с което на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните/ Регламент (ЕС) 2016/679/ ОРЗД) е поискала от „Сити Кеш“ООД да ѝ бъдат предоставени копия от договори за паричен заем в периода 01.01.2018 г. – 01.01.2023 г., сключени между нея и дружеството. В заявлението е посочено, че копията от договори са поискани с оглед обработването на личните данни на субекта, съдържащи се в тези договори. Посочени са начина и адрес на който да се предоставят поисканите информация и документи. Заявлението е регистрирано в „Сити Кеш“ ООД с вх. № 3030 от 17.06.2025 г. С писмо изх. № 000241 от 15.07.2025 г. във връзка с подаденото заявление „Сити Кеш“ООД е предоставило информация като се е позовало на по чл. 15, § 1 от ОРЗД и е описало категориите обработвани лични данни, целите на обработване, категории получатели, срок на съхранение, други права на субекта на данни, извадка от договор за потребителски кредит, съдържащ личните ѝ данни. Писмото е подписано от П. Л. в качеството ѝ на длъжностно лице по защита на данните. От правна страна първоинстанционният съд е приел, че Ц. С. е субект на данни, който е подал заявление по чл. 37б от Закона за защита наличните данни (ЗЗЛД) с необходимите реквизити за упражняване на правата си по чл. 15 и чл. 20 от Регламент (ЕС) 2016/679. Посочил е, че по делото е безспорно качеството на администратор на лични данни на „Сити Кеш“ООД. Съдът е приел, че отказът на администратора на лични данни „Сити Кеш“ООД да предостави поисканите копия от документи е незаконосъобразен, като издаден в противоречие с материалноправните и процесуалноправните разпоредби, както и с целта на закона. Така постановеното съдебно решение е валидно и допустимо, но неправилно, като поставено при допуснато съществено нарушение на съдопроизводствените правила. Първоинстанционният съд е сезиран с жалба на Ц. С. против изричен отказ от 15.07.2025 г. на „Сити Кеш“ООД да предостави копия от документи, в които се съдържат нейни лични данни, във връзка с подаденото заявление по чл. 37б от ЗЗЛД. Видно от доказателствата по делото писмото от 15.07.2025 г. е подписано от длъжностното лице по защита на данните. Съгласно чл. 39 от Регламент (ЕС) 2016/679 длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. Следователно длъжностното лице по защита на данните има спомагателна и консултативна функция, като липсва законова компетентност да издава отговори/актове от името на администратора на лични данни във връзка с подадени заявления за упражняване от субектите на данни права по чл. 15 и чл. 20 от Регламент (ЕС) 2016/679. атакуваното пред първата инстанция писмо изх. № 000241 от 15.07.2025 г. е подписано от длъжностното лице по защита на данните П. Л., но няма данни, че тя разполага с представителна власт спрямо администратора на лични данни „Сити Кеш“ООД. При неподписването на писмото от представляващ (законен представител или лице с представителна власт) „Сити Кеш“ООД и липсата на доказателства за компетентността на длъжностното лице по защита на личните данни да упражнява правата по Регламент (ЕС) 2016/679, оспорения акт се явява издаден от лице, за чиято материална компетентност не са ангажирани доказателства и съдът не е указал представянето им. Действително администраторът на лични данни не е административен орган и издадените от него актове нямат характер на административни, но чл. 39, ал. 1 от АПК предвижда обжалването им по реда на АПК, което предопределя както процесуалния ред за разглеждане на жалбата, така и основанията за оспорване. Съдът е конституирал „Сити Кеш“ ООД като страна в съдебното производство в качеството му на администратор на лични данни, но не е уточнил прецизно предмета на спора така, както е индивидуализиран в жалбата, а именно писмо изх. № 000241 от 15.07.2025 г., подписано от лице, за което по делото няма данни и не е указвано представяне на доказателства относно представителната му власт за издаване на правни актове от името на „Сити Кеш“ООД. Допълнително трябва да бъде посочено, че решаващият съд не е обсъдил доводите на "Сити Кеш"ООД, че за него липсва задължение да предоставя копия от документи като администратор на лични данни, което трябва да се разглежда като съществено нарушение на съдопроизводствените правила по смисъла на чл. 209, т. 3 от АПК. Предвид изложеното обжалваното решение на АС - Пловдив трябва да бъде отменено, а делото върнато за ново разглеждане от друг състав на същия съд, който след като изпълни задълженията си по чл. 154 от АПК да установи кой е издателя на оспорения акт и компетентността му, респективно налице ли е изрично предоставяне на правомощия за издаване на актове със съдържанието на оспорения от името на администратора на лични данни на лицето, подписало атакуваното писмо, след което провери акта, предмет на оспорване, за законосъобразност по реда на чл. 168, ал. 1 АПК, на всички основания по чл. 146 АПК. По отношение мотивираното заключение на представителя на Върховната касационна прокуратура, в което е изразено становището за наличие на основанията за спиране на производството по делото до произнасяне на Съда на Европейския съюз по дело C-676/25, настоящият касационен състав, счита че доколкото отмяната на решението е изцяло на процесуално основание то не са налице предпоставките по чл. 229, ал. 1, т. 4 ГПК във връзка с чл. 144 АПК за спиране на производството по настоящото дело. Образуваното пред Съда на Европейския съюз дело С-676/25 няма да има значение за правилното решаване на спора по настоящото дело, тъй като въпросите, които са зададени пред СЕС касаят действия на администратор на лични данни. В производството по настоящото дело не е изяснен издателят на оспорения акт, при което не е налице отношение на преюдициалност към настоящия момент на изхода от образуваното пред СЕС дело и резултатът по настоящото производство. С оглед изхода на спора и съобразно разпоредбата на чл. 226, ал. 2 АПК по претенциите за разноски за настоящата инстанция следва да се произнесе първоинстанционният съд при новото разглеждане. По изложените съображения, Върховният административен съд, Пето отделение