Решение № 12130 от 27.11.2025 г. на ВАС по адм. д. № 7810/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на СИТИ КЕШ ООД срещу Решение 5885/13.06.2025 г. на Административен съд (АС) Хасково, постановено по адм. дело 803/2025 г. С обжалваното решение е отменен Отказ на СИТИ КЕШ ООД, обективиран в писмо от 19.03.2025 г., по искането на К. Г. А., чрез адвокат Н. В. Русинов, от 19.02.2025 г., за предоставяне на копие от сключен между страните Договор за потребителски кредит 838794, ведно със съпътстващите договора документи; преписката е изпратена на СИТИ КЕШ ООД, за ново произнасяне по искането на К. Г. А., чрез адвокат Н. В. Русинов, от 19.02.2025 г. за предоставяне на копие от сключен между страните Договор за потребителски кредит 838794, ведно със съпътстващите договора документи, съобразно задължителните указания по тълкуването и прилагането на закона, дадени в мотивите на решението; СИТИ КЕШ ООД е осъдено да заплати разноски по делото. Касационният жалбоподател обжалва решението с доводи, че то е неправилно постановено в противоречие с материалния закон, при съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът няма мотиви по оспорване на конкретен административен акт, а приема по презумпция, че има изричен отказ , че съдът погрешно е тълкувал чл. 15, § 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 . В тази връзка сочи, че съдът неправилно възприема, че правото на достъп включва автоматично право на получаване на копие от носители на документи, като твърди, че това не следва от текста на чл. 15, § 3 от Регламент (ЕС) 2016/679. Счита, че съдът неправилно е приложил практиката на Съда на Европейския съюз (СЕС). Моли обжалваното решение да се отмени. Претендира разноски за двете съдебни инстанции, включително юрисконсултско възнаграждение в размер на 1000 лв. за касационната инстанция и 300 лв. пред АС Хасково. Касационният жалбоподател се представлява от юрк. Бочева. Ответникът по касация К. Г. А. оспорва касационната жалба по съображения изложени в писмено становище. Моли обжалваното решение да се остави в сила. Претендира разноски. Представя списък на разноските. Ответникът по касация се представлява от адв. Русинов. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна. За да постанови обжалваното решение, съдът е приел от фактическа страна следното: На 19.02.2025 г. К. Г. А., чрез пълномощника си адв. Н. Русинов от АК-Бургас, е подала по електронен път молба до СИТИ КЕШ ООД, с която е поискала от дружеството, в качеството му на администратор на лични данни, да ѝ бъде предоставено копие от сключен между тях Договор за кредит 838794, ведно с всички съпътстващи договора документи. В молбата е посочено, че искането се прави с оглед проверка на законността на обработването на личните данни, като е заявен електронен адрес за изпращането на документите. Към молбата са приложени договор за правна защита и съдействие от 19.02.2025 г. и пълномощно за адв. Н. Русинов. С писмо от 19.03.2025 г. на длъжностно лице по защита на данните в СИТИ КЕШ ООД К. Г. А. е уведомена, че дружеството обработва нейните лични данни като страна по кредит. Описани са и категориите лични данни, целите на обработката на личните данни, категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение и правата на субекта на лични данни. По искането на К. Г. А. за предоставяне на копие от сключения Договор за кредит 838794, ведно със съпътстващите договора документи, е посочено, че еднообразен екземпляр от горепосочения договор за кредит ѝ е предоставен надлежно от кредитора при сключване на същия, а в частта относно всички съпътстващи договора документи е счетено, че същото е неясно поради липса на конкретика, поради което искането е намерено за неоснователно и прекомерно. Съдът е установил, че пред Комисията за защита на личните данни (КЗЛД), че не е налице висящо или приключило производство, инициирано от К. Г. А. срещу Сити кеш ООД. При така установеното от фактическа страна съдът е приел от правна страна, че е сезиран с редовна и допустима жалба. Посочил е, че писмото от 19.03.2025 г. по съществото си представлява отказ за упражняване на право по подаденото на 19.02.2025 г. искане, тъй като не го удовлетворява изцяло, респективно за К. Г. А. продължава да е налице правен интерес от оспорването. Приел е, че обжалваният акт е издаден от компетентен орган, обективиран е в законоустановената писмена форма, като при издаването му не са допуснати съществени нарушения на административнопроизводствените правила. Приел е, че оспореният отказ не е в съответствие с материалния закон. В тази връзка е изложил съображения, че жалбоподателката е депозирала по електронен път писмено заявление по чл. 37б от Закона за защита на личните данни (ЗЗЛД) до администратора на лични данни СИТИ Кеш ООД при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл. 37в ЗЗЛД. Администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт било видно, че изисканата информация не е била получена в пълен обем от оспорващата. Приел е, че отказът на ответника да удовлетвори напълно искането на К. А. е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. а от Регламент (ЕС) 2016/679. Приел е, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679. Решението е неправилно. Съдът е установил правилно относимите към спора факти, но е достигнал до незаконосъобразни и необосновани правни изводи. Съгласно чл. 37б, ал. 1 ЗЗЛД субектът на данни упражнява правата по чл. 15 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Член 15, § 1 от Регламент (ЕС) 2016/679 предвижда, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. В чл. 15, § 3 от същия регламент е предвидено, че администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго. Безспорно по делото е установено, че на 19.02.2025 г. К. Г. А., чрез пълномощника си адв. Н. Русинов от АК-Бургас, е подала по електронен път молба до СИТИ КЕШ ООД, с която е поискала от дружеството, в качеството му на администратор на лични данни, да ѝ бъде предоставено копие от сключен между тях Договор за кредит 838794, ведно с всички съпътстващи договора документи. К. А. като субект на данни е упражнила със заявлението си от 19.02.2025 г. право по чл. 15 от Регламент (ЕС) 2016/679 и по конкретно по чл. 15, § 3. Искането е отправено до администратора на лични данни СИТИ КЕШ ООД. В съответствие с чл. 12, § 1 и 3 от Регламент (ЕС) 2016/679 администраторът следва да предприеме необходимите действия, за да предостави на субекта на данни информация относно действията предприети във връзка с искането му по чл. 15 без ненужно забавяне и във всички случай в срок от един месец от получаване на искането, освен ако не са налице основания за удължаване на този срок. Изрично в чл. 12, § 4 е посочено, че ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. В случая по искането на К. Г. А. е постановен отговор от 19.03.2025 г. от длъжностно лице по защита на данните в СИТИ КЕШ ООД. Съгласно чл. 69, ал. 1 ЗЗЛД администраторът на лични данни определя длъжностно лице по защита на данните въз основа на неговите професионални качества и по-специално въз основа на експертните му познания по законодателството и практиките в областта на защитата на личните данни и способността му да изпълнява задачите по чл. 70. В чл. 70, ал. 1 ЗЗЛД е предвидено ,че администраторът на лични данни гарантира, че длъжностното лице по защита на данните участва по подходящ начин и своевременно при разглеждането на всички въпроси, свързани със защитата на личните данни. В чл. 70, ал. 2 ЗЗЛД са предвидени минимума от задачи, които администраторът на лични данни може да възлага на длъжностното лице по защита на данните. Сред тях не фигурира това да представлява администратора на лични данни и да отговаря от негово име по искания на субекти на данни, с които те упражняват правата си по Регламент (ЕС) 2016/679, вкл. това по чл. 15, § 3. Регламент (ЕС) 2016/679, Глава ІV, Раздел четири е озаглавен Длъжностното лице по защита на данните . Съгласно чл. 38, § 4 Регламент (ЕС) 2016/679 субектите на данни могат да се обръщат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните лични данни и с упражняването на техните права съгласно настоящия регламент. Това означава, че субект на данни, който желае да упражни свое право като субект на данни или когато има общи въпроси във връзка с защита на данните може да се обърне освен към администратора на лични данни, така и към длъжностното лице по защита на данните определено от администратора. Но регламента не задължава субекта на данни да се обърне към длъжностното лице по защита на данните. Субектите на данни могат да се обърнат и към самия администратор, защото разпоредбите на чл. 12, чл. 15-12 от Регламент (ЕС) 2016/679 предвиждат задължение на администратора на лични данни да предостави информация във връзка с личните данни които обработва, която се иска от него. Следователно субект на данните има право да се обърне към освен към администратора (чл. 12 Регламент (ЕС) 2016/679) и към длъжностното лице по защита на данните (чл. 38, § 4 Регламент (ЕС) 2016/679). Когато лицето се е обърнало към длъжностното лице по защита на данните, последното следва да разгледа искането без пристрастия в полза на организацията или субекта на данните аргумент от чл. 38, § 2 и § 3 и съображение 97 от Регламент (ЕС) 2016/679. Длъжностното лице е независимо от администратора на лични данни. Това следва от задачите на длъжностното лице по защита на данните, посочени в чл. 39 от Регламент (ЕС) 2016/679. Функциите на длъжностното лице по защита на личните данни са консултативни и се свеждат до експертно подпомагане на администратора на лични данни по прилагането на защитата на личните данни. Тази функция на длъжностното лице по защита на личните данни не отнема решенията които администраторът на лични данни взема, както и неговата отговорност за съобразяване с изискванията на Регламент (ЕС) 2016/679. В Насоките за длъжностните лица по защита на данните, приети на 13.12.2016 г., последно преразгледани и приети на 05.04.2017 г. е посочено, че при изпълнението на своите задачи длъжностното лице по защита на данните не бива да получава указания как да реши поставен му въпрос, например какъв резултат трябва да постигне, как да провежда разследване по жалба или дали да се консултира с надзорния орган. Освен това то не бива да получава указания да възприеме определена гледна точка по даден въпрос, свързан със законодателството в областта на защита на данните, например конкретно тълкуване на закона. Изрично е посочено, че независимостта на длъжностното лице не означава, че то разполага с правомощия за вземане на решения извън задачите му по чл. 39 от Регламент (ЕС) 2016/679. Когато субектът на данни е отправил искането си към администратор на лични данни, администраторът следва да отговори на искането. Ако е физическо лице следва да отговори лично, а ако е юридическо лице, чрез лица, които имат право да го представляват. Ако администраторът отговаря чрез упълномощено лице, следва да са налице доказателства за упълномощаването на същото, респективно за делегиране на правомощия. В случая субектът на данни е отправил искането си към администратор на лични данни, но е получил отговор от длъжностното лице по защита на данните в СИТИ КЕШ ООД. Към длъжностното лице по защита на данните няма отправено искане от субекта на данни. Съдът е приел, че писмото от 19.03.2025 г. издадено от длъжностното лице по защита на данните в СИТИ КЕШ ООД, обективира отказ на СИТИ КЕШ ООД като администратор на лични данни да предостави Договор за потребителски кредит 838794, ведно със съпътстващите договора документи. При така очертания предмет на жалбата е приел, че актът е издаден от компетентен орган, но не е изложил каквито и да е съображения, защо е приел, че след като по искането от 19.02.2025 г. на К. Г. се е произнесло длъжностното лице по защита на данните, то това е компетентният орган, който е следвало да се произнесе по така подаденото искане. Както се посочи по-горе в решението субектът на данни може да поиска от администратора информация за личните му данни които се обработват и може да поиска от длъжностното лице отговор на въпроси свързани с обработването на лични данни и с упражняването на права по регламента. Касае се за различни искания, които могат да се отправят към различни субекти със задължения по регламента администратор на лични данни и длъжностно лице по защита на данните, които имат различни правомощия по отправени искания за упражняване на права от субекта на данни. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. На обжалване подлежат актове, действия или бездействия на администратора и на обработващия лични данни. По делото не са събирани доказателства, че длъжностното лице по защита на данните има правото да се произнася по заявления по чл. 37б ЗЗЛД и чл. 15 от Регламент (ЕС) 2016/679 от името на администратора на лични данни. От съда не са и давани указания за представянето на такива доказателства. При наличието на такива доказателства, за представянето на които следва да се дадат изрични указания на ответника по жалбата, съдът следва да извърши преценка дали и защо по отправено искане по чл. 15 от Регламент (ЕС) 2016/679 до администратор на лични данни може да се произнесе длъжностното лице по защита на личните данни на този администратор. При липса на такива доказателства съдът следва да извърши преценка за допустимостта на жалбата предвид посочения като обжалван отказ на СИТИ КЕШ ООД, обективиран в писмо от 19.03.2025 г. Излагането на мотиви, при липсата на доказателства в посочения по-горе смисъл, за първи път от настоящия съд би лишило страните от една инстанция. Фактически констатации може да прави само първоинстанционният съд въз основа на събраните по надлежния ред доказателства. По изложените съображения обжалваното решение като неправилно следва да бъде отменено и делото се върне за ново разглеждане от друг състав на същия съд за ново разглеждане, съобразно дадените в мотивите на настоящото решение указания. С оглед изхода на спора по претенциите за разноски за настоящата инстанция ще следва да се произнесе първоинстанционният съд при новото разглеждане, предвид чл. 226, ал. 2 АПК. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ, вр. чл. 222, ал. 2 АПК, Върховният административен съд, пето отделение