Решение № 8505 от 03.08.2026 г. на ВАС по адм. д. № 8671/2025 г.

Производството е по чл. 208 и следв. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „Кредирект“ ЕООД, чрез процесуален представител, юрк. В. Вълканов, срещу решение № 2996/16.07.2025 г., постановено по адм. дело № 235/2025 г. по описа на Административен съд – Стара Загора (АС- Стара Загора). С обжалваното решение съдът е отменил по жалба на М. Е. А. изричен отказ да му бъдат предоставени носителите на лични данни, въз основа на които се обработват данните му, обективиран в писмо от 28.02.2025 г. на длъжностното лице по защита на личните данни при „Кредирект“ ЕООД; преписката е изпратена на „Кредирект“ ЕООД за произнасяне по подаденото от М. А. искане от 03.02.2025 г. в частта му относно изрично заявеното желание за предоставяне на всички носители на лични данни /договори, стандартни европейски формуляри и др./, въз основа на които се обработват данните му с указанията по тълкуване и прилагане на закона в мотивите на решението в 14-дневен срок от влизането му в сила. Присъдени са разноски в тежест на „Кредирект“ ЕООД. С настоящата касационна жалба „Кредирект“ ЕООД атакува решението на АС – Стара Загора в неговата цялост. Навежда доводи за неправилност на решението поради нарушение на материалния закон и съществено нарушение на съдопроизводствените правила – касационно основание по чл. 209, т. 3 от АПК. Конкретни съображения за незаконосъобразност на изводите на съда са изложени в касационната жалба. Иска се отмяна на обжалваното решение и присъждане на разноски за две съдебни инстанции. В открито съдебно заседание касаторът не се явява и не се представлява. Ответникът – М. Е. А., чрез пълномощник адв. Мавров, в депозиран отговор на касационната жалба оспорва същата като неоснователна и моли съда да потвърди решението на първоинстанционния съд като правилно. Претендира разноски за касационната инстанция. В открито съдебно заседание ответникът не се явява и не се представлява. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в законоустановения срок и срещу подлежащ на оспорване съдебен акт, поради което е процесуално допустима. Разгледана по същество, касационната жалба е основателна по следните съображения: За да постанови обжалваното решение, административният съд е приел, че М. А. е субект на данни, който е подал заявление по чл. 37б, ал.1 и ал.2 от Закона за защита наличните данни (ЗЗЛД) с необходимите реквизити за упражняване на правата си по чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък „Регламент (ЕС) 2016/679“. Посочил е, че по делото е безспорно качеството на администратор на лични данни на „Кредирект“ ЕООД. След анализ на приложимите разпоредби от Регламент (ЕС) 2016/679 и практиката на СЕС, в частност C-154/21, АС – Стара Загора е приел, че в изпълнение на основни принципи, установени в регламента /принципа на прозрачност и отчетност/, за администратора на лични данни е налице задължение, при наличие на отправеното изрично искане, да предостави на субекта и изискани от него документи, чрез които се обработват или са се обработвали негови лични данни. Направен е извод, че неизпълнението на това задължение ще води до ограничаване възможността субектът на личните данни да узнае конкретните фактически и правни основания, обуславящи целите на обработка на личните му данни и по този начин да извърши проверка дали същите се обработват законосъобразно по смисъла на чл. 6 от Регламент /ЕС/ 2016/679. Решението е неправилно, в частта в която е отменен изричен отказ, обективиран в писмо от 28.02.2025 г. на длъжностното лице по защита на личните данни при „Кредирект“ ЕООД и правилно в частта, в която преписката е изпратена на „Кредирект“ ЕООД за ново произнасяне по следните съображения: Съдът е установил правилно относимите към спора факти, но е достигнал до незаконосъобразни и необосновани правни изводи. Правилно е прието, че М. А. в качеството му на субект на данни по смисъла на чл. 4, § 1 от Регламент (ЕС) 2016/679, е упражнил правото си на достъп, като е отправил до „Кредирект“ ЕООД искане за предоставяне на копие от личните данни, обработвани във връзка със сключените от него договори за потребителски кредит, както и на всички останали документи, съдържащи негови лични данни. Съгласно чл. 37б, ал. 1 от Закона за защита на личните данни, правата по чл. 15–22 от Регламент (ЕС) 2016/679 се упражняват чрез писмено заявление, отправено до администратора на лични данни или по друг определен от него ред. Разпоредбата на чл. 37б, ал. 2 ЗЗЛД допуска заявлението да бъде подадено и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В случая отказът за предоставяне на исканата информация е обективиран в писмо- отговор от 28.02.2025г. на длъжностното лице по защита на данните в Кредирект“ ЕООД. Настоящият съдебен състав намира, че така изготвеният отговор не представлява валиден административен акт. Видно от съдържанието му, отговора изхожда от П. Л. - длъжностно лице по защита на данни, но същият не съдържа дата и подпис – нито саморъчен, нито квалифициран електронен подпис, въпреки че е изпратено по електронен път до М. А., чрез адв. Мавров на електронен адрес •••@•••. Подписът е съществен реквизит, който удостоверява връзката между автора и съдържащото се в документа волеизявление. При липса на подпис не може да бъде установено кой е издателят на акта и дали той действително е формирал и изразил съдържащата се в него воля. При липсата на компетентен орган се налага изводът, че е налице основание за нищожност на оспорения акт, която трябва да се обяви - чл. 172, ал. 2, предл. първо вр. чл.146, т.1 АПК. Наред с изложеното следва да се отбележи, че по делото не са ангажирани доказателства, от които да се установява, че длъжностното лице по защита на данните при „Кредирект“ ЕООД разполага с правомощието за издаване на административни актове от името на администратора на лични данни. При упражняване на правата по чл. 15–22 от Регламент (ЕС) 2016/679 задължен да се произнесе е именно администраторът на лични данни, а не длъжностното лице по защита на данните, освен ако не е надлежно оправомощено, каквито доказателства в настоящото производство не са представени. Решението на първоинстанционния съд, в частта, в която е отменен изричен отказ, обективиран в писмо от 28.02.2025 г. на длъжностното лице по защита на личните данни при „Кредирект“ ЕООД като неправилно следва да се отмени и вместо него се постанови ново, с което изричният отказ се обяви за нищожен. В останалата част Решение № 2996/16.07.2025 г. на АС - Стара Загора следва да бъде оставено в сила предвид, че делото като преписката е изпратена на администратора на лични данни – компетентния орган да се произнесе по подаденото заявление. С оглед изхода на спора разноски на страните не следва да се присъждат и те следва да останат така както са направени от всяка от страните. По изложените съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, състав на Пето отделение