Определение от 11.09.2026 г. на ВАС по адм. д. № 11495/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по касационна жалба на „ВИВА КРЕДИТ“ АД, ЕИК 207343548, със седалище гр. София, представлявано от изпълнителния директор К. Костадинов, чрез процесуален представител адв. А. Николовска, срещу решение № 7480 от 30.09.2025 г., постановено по адм. дело № 1239/2025 г. по описа на Административен съд (АС) – Хасково.

С обжалваното решение административният съд е отменил отказ на „ВИВА КРЕДИТ“ АД, обективиран в Уведомление от 22.05.2025 г., да предостави копия от документите, в които се съдържат лични данни, по депозирано заявление от 22.04.2025 г. на С. М. М. във връзка с упражнено право на достъп по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните, наричан по-долу „ОРЗД“), и е върнал преписката на „ВИВА КРЕДИТ“ АД за ново произнасяне по заявлението, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с решението.

В касационната жалба са изложени доводи за неправилност на съдебния акт поради постановяването му в нарушение на материалния закон, при допуснати съществени нарушения на съдопроизводствените правила и необоснованост. Твърди се, че съдът неправилно е квалифицирал искането на С. М. по чл. 15 от ОРЗД, тъй като същото било насочено към получаването на копия на документи, а не към проверка на обработването на лични данни. На следващо място касаторът изтъква, че дори и да се приеме, че искането следва да бъде разгледано изцяло в контекста на чл. 15 от ОРЗД, съдът неправилно е приел, че копие от лични данни е идентично с копие от договори, още повече, че в настоящия случай по-голямата част от исканите договори не съдържали лични данни на заявителя. Освен това първоинстанционният съд не бил обсъдил дали предоставянето на пълни копия на договорите и документите се явява действително необходимо в конкретния случай с оглед упражняване на права на заявителя по Регламента, както и защо съдът е преценил същото като задължително в светлината на принципите на минимизация и пропорционалност, залегнали в ОРЗД.

По тези, подробно развити в касационната жалба съображения, касаторът иска да се отмени обжалваното решение и да се постанови ново, с което да бъде оставена без уважение жалбата на С. М. М. срещу отговора на дружеството от 22.05.2025 г., при условията на евентуалност – делото да се върне на административния съд за ново произнасяне.

В писмен отговор ответникът по касация – С. М. М., чрез пълномощник по делото адв. Т. Цонев, оспорва касационната жалба като неоснователна и моли първоинстанционното решение да бъде оставено в сила като правилно и обосновано.

С молба от 31.03.2026 г. касационният жалбоподател, представляван от адв. Николовска, заявява искане за спиране на производството по делото на основание чл. 229, ал. 1, т. 4 от ГПК и чл. 631 от ГПК, във вр. с чл. 144 от АПК, поради отправено до Съда на Европейския съюз (СЕС), по дело със сходен предмет и идентични правни въпроси, преюдициално запитване относно обхвата на правото на достъп по чл. 15 от ОРЗД – дело № С-676/2025 на СЕС.

Върховният административен съд, състав на пето отделение, като прецени данните по делото, намира, че са налице основанията по чл. 154а, ал. 1, т. 8 от АПК за спиране на съдебното производство, по следните съображения:

Според приетата за установена фактическа обстановка по делото: на 22.04.2025 г. жалбоподателят С. М. М., чрез пълномощника си адв. Т. Цонев, е изпратил по електронен път до „ВИВА КРЕДИТ“ АД заявление за упражняване на право на достъп до информация, в което е посочил, че със заявлението упражнява правото на достъп до лични данни съгласно чл. 15 от ОРЗД и моли да му бъде предоставен достъп до всички отнасящи се за него лични данни, които „ВИВА КРЕДИТ“ АД обработва в качеството му на администратор на лични данни, като бъдат предоставени копия от всички документи, в които се съдържат лични данни на С. М. М., включително, но не само договор за кредит, договор за цесия и други. По делото не се спори, а и се потвърждава от представените доказателства, че заявлението е достигнало до адресата му и в отговор на искането ответното дружество, в имейл от 22.05.2025 г., е изпратило на заявителя Уведомление, подписано от упълномощено за целта лице (К. Б. – длъжностно лице по защита на данните), в което посочва, че обработва лични данни на С. М. М. във връзка с прекратени договорни отношения по „Договор за паричен заем Standard 30“ от 09.06.2020 г. и съхранява минимално необходимия обем данни за изпълнение на законоустановени задължения, като за по-подробна информация препраща към своята Политика за поверителност. Посочени са категориите лични данни, които дружеството обработва, включително три имена, ЕГН, данни от документ за самоличност (лична карта), постоянен и настоящ адрес, мобилен телефон, имейл адрес, данни от регистри на държавни органи (например Централен кредитен регистър към БНБ, регистър на НОИ за трудови правоотношения, регистър Български документи за самоличност на МВР), информация дали лицето е видни политически фигури или свързано с такива, информация за произход на средства съгласно Закона за мерките срещу изпиране на пари, както и подпис. Приложено е удостоверение от 19.05.2025 г., в което се декларира, че предоставените лични данни представляват точно копие на всички лични данни, обработвани от дружеството. Налице е приложение, озаглавено „Копие на лични данни – Извлечение от информационна база данни и извадки от документи, съдържащи актуални лични данни, обработвани от Администратора“, включващо основни лични данни. Предоставени са само първа и последна страница от „Договор за паричен заем Standard 30“ от 09.06.2020 г. Конкретно обсъдено е искането за получаване на копия от самите документи в тяхната цялост, като по този въпрос становището на дружеството е, че задължението за предоставяне на информация се отнася до самите лични данни, включително когато те се съдържат в документи, но не и до цялостни копия на тези документи, освен когато това е необходимо, за да може субектът на данните да упражни ефективно правата си по ОРЗД. В настоящия случай администраторът не е установил такава необходимост, доколкото счита, че предоставената от него в отговора от 22.05.2025 г. информация била в съответствие както с изискванията на ОРЗД, така и на практиката на СЕС. Същата била предоставена в пълнота и по начин, който гарантира яснота и разбираемост спрямо целите на искането. В допълнение в отговора е посочено още, че не всички от поисканите документи съдържат лични данни на заявителя (Стандартен европейски формуляр, Общи условия и т.н.), поради което същите не попадат в приложното поле на ОРЗД. Накрая дружеството пояснява, че при желание за получаване на пълни копия на договори или други документи, които не съдържат лични данни (което представлявало потребителска услуга, а не задължение на администратора съгласно чл. 15 от ОРЗД), следва да се подаде писмена молба до изпълнителния директор, като за тази услуга се дължат съответно потребителски такси: 20 лв. за първа страница и 5 лв. (с ДДС) за всяка следваща страница. За сканиран договор, изпратен по имейл, се изисква такса от 100 лв. (с ДДС), както и допълнителни 50 лв. (с ДДС) за обработка на искането.

При тези фактически обстоятелства, от правна страна съдът е приел, че подаденото от С. М. заявление представлява надлежно искане по смисъла на чл. 37б, ал. 1 от Закона за защита на личните данни (ЗЗЛД), съдържащо реквизитите по чл. 37в от ЗЗЛД, във връзка с упражняване на права по чл. 15 от ОРЗД и по силата на чл. 15, § 3 от ОРЗД администраторът е бил длъжен да предостави копие от обработваните от него лични данни на заявителя. С позоваване на относимите разпоредби от ОРЗД и приетото в Решение от 04.05.2023 г. на СЕС по дело С-487/21, F. F. V. Ostcrreichische Datenschutzbehorde, административният съд е обосновал извода, че субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и ОРЗД във връзка със съществуващите между него и администратора на лични данни облигационни отношения. Посочил е, че непредоставянето на копия от договора, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Съдът е изложил мотиви и за това, че исканите документи е следвало да бъдат предоставени безплатно в съответствие с разпоредбата на чл. 12, § 5 от ОРЗД, като в случая не се доказва нито явно неоснователният или прекомерен характер на искането по смисъла на изречение второ от същата разпоредба, нито че с него се иска предоставянето на „допълнителни копия“ по смисъла на чл. 15, § 3 от ОРЗД.

По тези съображения съдът е достигнал до извода, че оспореният отказ, обективиран в Уведомлението от 22.05.2025 г., се явява незаконосъобразен и като такъв следва да бъде отменен, а ответникът да бъде задължен да предостави пълен достъп до исканите копия от документи, в които се съдържат лични данни на С. М. М., по заявление от 22.04.2025 г.

С определение № 11385 от 21.10.2025 г. по адм. дело № 1643/2025 г. Административен съд – Варна е отправил преюдициално запитване до СЕС, със следните въпроси:

1. Разпоредбите на член 8 от ХОПЕС, член 12, параграф 1 и параграф 5, член15, параграф 3 от Регламент (ЕС) 2016/679, тълкувани във връзка със съображения 58, 60 – 63 от същия регламент и с решения на Съда на ЕС по дела C-487/21 и С-307/22, трябва ли да се разбират в смисъл, че в контекста на приключили отношения между заемодател и заемател по договор за паричен заем, правото на субекта на данните да получи копие от личните данни, които са предмет на обработване под формата на съхранение (архивиране) за срока и целите за прилагане на мерките срещу изпирането на пари, предполага задължение на администратора при всяко искане да предоставя и пълно копие от договора за заем, във връзка с който е дадено съгласието за обработване на данните?

2. Правото на преносимост по чл. 20, параграф 1 от ОРЗД следва ли да се тълкува в смисъл, че включва и правото на субекта да получи пълно хартиено копие от договорите за заем, при сключването на които е предоставял свои лични данни, при положение че договорите са приключени и събраните/обработени въз основа на тях данни се съхраняват от администратора единствено за целите и срока за прилагане на мерките срещу изпирането на пари?

3. Как принципите на прозрачност, минималност и точност по член 5, параграф 1, букви а), в) и г) от ОРЗД, и правата по член 15, параграфи 1 и 3, и по член 20, параграф 1 ОРЗД — на достъп и преносимост на личните данни, които са в процес на обработка от вида съхранение (архивиране) за целите и срока за прилагане на мерките срещу изпирането на пари — се отнасят към задължението на администратора да предостави на субекта освен копие на данните, и пълно копие от договора за заем, при условие че: 1. същият е сключен след профилиране на субекта чрез алгоритми за машинно обучение и 2. администраторът доказва, че субектът вече разполага с него?

4. В случай че задължението за предоставяне на пълно копие на договора за заем не е абсолютно (не се предполага), данните се обработват само под формата на съхранение (архивиране) за целите и срока за прилагане на мерките срещу изпирането на пари, и субектът на данни твърди, че без пълното копие на договора не може да разбере контекста и въздействието от обработването, при какви обективни критерии и условия националният съд следва да извърши преценка дали администраторът има задължение да предостави пълно копие на договор за заем?

5. В обхвата на защитата по член 79 от ОРЗД и член 8 от ХОПЕС, преценката на администратора — че договорът за заем има клаузи, които остават извън обхвата на правото по член 15, параграфи 1 и 3, както и че искането е прекомерно и повтарящо се, подлежи ли на съдебен контрол и по какви обективни критерии/условия следва да се осъществи този контрол от националния съд?

По отправеното преюдициално запитване е образувано дело № С-676/2025 г. на СЕС.

Върховният административен съд, в настоящия касационен състав, намира, че произнасянето на СЕС по поставените от АС – Варна въпроси с определение № 11385 от 21.10.2025 г. по адм. дело № 1643/2025 г. се явява преюдициално по спора по настоящото съдебно касационно производство. Изложените по-горе фактически обстоятелства по казуса и даденото правно решение от първоинстанционния съд относно съдържанието и обхвата на правата на субектите на данни по чл. 15 от ОРЗД, респ. на съответстващото на тези права задължение на администратора на лични данни, показват сходство с предмета на спора, във връзка с който АС – Варна е отправил преюдициално запитване до СЕС.

Съгласно чл. 154а, ал. 1, т. 8 от АПК, съдът спира производството по делото при отправено преюдициално запитване от друг съд по въпрос, обуславящ изхода на спора. В разглеждания случай произнасянето на СЕС по дело № С-676/2025 на СЕС е преюдициално и от значение за изхода на спора по настоящото адм. дело № 11495/2025 г. на Върховния административен съд, поради което следва да се отмени определението, с което е даден ход по същество на делото и се спре касационното производство до приключване на дело № С-676/2025 г. на СЕС.

Водим от горното, Върховният административен съд, състав на пето отделение,